(1)

Kibernetička sigurnost jedan je od ključnih izazova za Uniju. Broj i raznolikost povezanih uređaja eksponencijalno će rasti u nadolazećim godinama. Kibernetički napadi tema su od javnog interesa jer imaju kritičan učinak ne samo na gospodarstvo Unije nego i na demokraciju te na sigurnost i zdravlje potrošača. Stoga je potrebno osnažiti Unijin pristup kibernetičkoj sigurnosti, odgovoriti na pitanjem kibernetičke otpornosti na razini Unije te poboljšati funkcioniranje unutarnjeg tržišta utvrđivanjem jedinstvenog pravnog okvira za bitne zahtjeve u pogledu kibernetičke sigurnosti koji se odnose na stavljanje na tržište Unije proizvoda s digitalnim elementima. Trebalo bi odgovoriti na dva glavna problema koji uzrokuju dodatne troškove za korisnike i društvo: nisku razinu kibernetičke sigurnosti proizvoda s digitalnim elementima koja se odražava u raširenim ranjivostima te nedovoljnim i neredovitim sigurnosnim ažuriranjima za njihovo rješavanje, te nedovoljno razumijevanje informacija od strane korisnika i nedovoljan pristup korisnika informacijama što ih sprečava da odaberu proizvode s odgovarajućim svojstvima kibernetičke sigurnosti ili da ih upotrebljavaju na siguran način.

(2)

Ovom se Uredbom nastoje utvrditi okvirni uvjeti za razvoj sigurnih proizvoda s digitalnim elementima tako što se osigurava da se na tržište stavljaju hardverski i softverski proizvodi s manje ranjivosti i da proizvođači ozbiljno shvaćaju sigurnost tijekom cijelog životnog ciklusa proizvoda. Njome se ujedno nastoje stvoriti uvjeti koji omogućuju korisnicima da pri odabiru i upotrebi proizvoda s digitalnim elementima vode računa o kibernetičkoj sigurnosti, na primjer poboljšanjem transparentnosti u pogledu razdoblja potpore za proizvode s digitalnim elementima koji se stavljaju na tržište.

(3)

Relevantno pravo Unije koje je na snazi sastoji se od nekoliko skupova horizontalnih pravila kojima se iz različitih kutova odgovara na određene aspekte povezane s kibernetičkom sigurnošću, uključujući mjere za poboljšanje sigurnosti digitalnog lanca opskrbe. Međutim, postojećim pravom Unije koje se odnosi na kibernetičku sigurnost, uključujući Uredbu (EU) 2019/881 Europskog parlamenta i Vijeća (3) i Direktivu (EU) 2022/2555 Europskog parlamenta i Vijeća (4), ne uređuju se izravno obvezni zahtjevi u pogledu sigurnosti proizvoda s digitalnim elementima.

(4)

Iako se postojeće pravo Unije primjenjuje na određene proizvode s digitalnim elementima, ne postoji horizontalni regulatorni okvir Unije kojim se utvrđuju sveobuhvatni zahtjevi u pogledu kibernetičke sigurnosti za sve proizvode s digitalnim elementima. Raznim dosad donesenim aktima i poduzetim inicijativama na razini Unije i na nacionalnoj razini samo se djelomično odgovara na utvrđene probleme i rizike povezane s kibernetičkom sigurnošću, što na unutarnjem tržištu stvara pravnu neujednačenost, povećava pravnu nesigurnost i za dobavljače i za korisnike tih proizvoda te poduzećima i organizacijama nameće nepotrebno opterećenje usklađivanja s nizom zahtjeva i obveza za slične vrste proizvoda. Kibernetička sigurnost tih proizvoda ima posebno snažnu prekograničnu dimenziju jer proizvode s digitalnim elementima proizvedene u jednoj državi članici ili trećoj zemlji često upotrebljavaju organizacije i potrošači na cjelokupnom unutarnjem tržištu. Stoga je to područje potrebno urediti na razini Unije kako bi se osigurao usklađen regulatorni okvir i pravna sigurnost za korisnike, organizacije i poduzeća, uključujući mikropoduzeća te mala i srednja poduzeća kako su definirana u Prilogu Preporuci Komisije 2003/361/EZ (5). Regulatorni okvir Unije trebalo bi uskladiti uvođenjem horizontalnih zahtjeva u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima. Osim toga, trebalo bi u cijeloj Uniji osigurati pravnu sigurnost za gospodarske subjekte i korisnike, kao i bolju usklađenost unutarnjeg tržišta i proporcionalnost za mikropoduzeća te mala i srednja poduzeća, čime bi se stvorili održiviji uvjeti za gospodarske subjekte koji namjeravaju ući na to tržište.

(5)

Kad je riječ o mikropoduzećima te malim i srednjim poduzećima pri određivanju kategorije u koju poduzeće pripada odredbe Priloga Preporuci 2003/361/EZ trebale bi se primjenjivati u cijelosti. Stoga bi se pri izračunu broja zaposlenika i financijskih gornjih granica kojima se određuju kategorije poduzeća trebale primjenjivati i odredbe članka 6. Priloga Preporuci 2003/361/EZ o utvrđivanju podataka za poduzeće s obzirom na posebne vrste poduzeća, kao što su partnerska poduzeća ili povezana poduzeća.

(6)

Komisija bi trebala pružati smjernice za pomoć gospodarskim subjektima u primjeni ove Uredbe, posebno mikropoduzećima te malim i srednjim poduzećima. Takve smjernice trebale bi, među ostalim, obuhvaćati područje primjene ove Uredbe, posebno daljinsku obradu podataka i njezine implikacije za programere besplatnog softvera otvorenog koda, primjenu kriterija koji se upotrebljavaju za utvrđivanje razdoblja potpore za proizvode s digitalnim elementima, međudjelovanje ove Uredbe i drugog prava Unije te koncept bitne izmjene.

(7)

U raznim programskim i političkim dokumentima na razini Unije, kao što su Zajednička komunikacija Komisije i Visokog predstavnika Unije za vanjske poslove i sigurnosnu politiku od 16. prosinca 2020. naslovljena „Strategija EU-a za kibernetičku sigurnost za digitalno desetljeće”, zaključci Vijeća od 2. prosinca 2020. o kibernetičkoj sigurnosti povezanih uređaja i od 23. svibnja 2022. o razvoju položaja Europske unije u pogledu kiberprostora, ili Rezolucija Europskog parlamenta od 10. lipnja 2021. o strategiji EU-a za kibersigurnost za digitalno desetljeće (6), pozivalo se na donošenje posebnih zahtjeva Unije u pogledu kibernetičke sigurnosti digitalne ili povezane proizvode, a nekoliko trećih zemalja na vlastitu je inicijativu uvelo mjere radi odgovaranja na ovo pitanje. U završnom izvješću Konferencije o budućnosti Europe građani su pozvali na „veću ulogu EU-a u borbi protiv kibernetičkih sigurnosnih prijetnji”. Važno je uspostaviti ambiciozan regulatorni okvir kako bi Unija imala vodeću međunarodnu ulogu u području kibernetičke sigurnosti.

(8)

Kako bi se povećala ukupna razina kibernetičke sigurnosti svih proizvoda s digitalnim elementima koji se stavljaju na unutarnje tržište, za te je proizvode potrebno uvesti tehnološki neutralne bitne zahtjeve u pogledu kibernetičke sigurnosti koji su orijentirani na ciljeve i primjenjuju se horizontalno.

(9)

Pod određenim uvjetima svi proizvodi s digitalnim elementima koji su integrirani u veći elektronički informacijski sustav ili su povezani s njim mogu poslužiti kao vektor napada za zlonamjerne aktere. Zbog toga čak i hardver i softver koji se smatraju manje kritičnima mogu olakšati početno ugrožavanje uređaja ili mreže, omogućujući zlonamjernim akterima da ostvare povlašteni pristup sustavu ili da se lateralno kreću među sustavima. Stoga bi proizvođači trebali osigurati da su svi proizvodi s digitalnim elementima projektirani i razvijeni u skladu s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi. Ta se obveza odnosi i na proizvode koji se mogu fizički povezati hardverskim sučeljima i proizvode koji su logički povezani, na primjer mrežnim utičnicama, cjevovodima, datotekama, aplikacijskim programskim sučeljima ili bilo kojom drugom vrstom softverskog sučelja. S obzirom na to da se kibernetičke prijetnje mogu širiti putem raznih proizvoda s digitalnim elementima prije nego što dođu do određene mete, primjerice ulančavanjem više kodova za iskorištavanje ranjivosti, proizvođači bi također trebali osigurati kibernetičku sigurnost proizvoda s digitalnim elementima koji su samo neizravno povezani s drugim uređajima ili mrežama.

(10)

Utvrđivanjem zahtjeva u pogledu kibernetičke sigurnosti za stavljanje na tržište proizvoda s digitalnim elementima nastoji se poboljšati kibernetičku sigurnost tih proizvoda i za potrošače i za poduzeća. Tim će se zahtjevima također osigurati da se kibernetička sigurnost uzima u obzir u cijelim lancima opskrbe, povećavajući sigurnost konačnih proizvoda s digitalnim elementima i njihovih komponenti. To uključuje i zahtjeve u pogledu stavljanja na tržište potrošačkih proizvoda s digitalnim elementima namijenjenih ranjivim potrošačima, kao što su igračke i sustavi za nadzor male djece. Potrošački proizvodi s digitalnim elementima koji su u ovoj Uredbi kategorizirani kao važni proizvodi s digitalnim elementima predstavljaju veći kibernetički sigurnosni rizik jer obavljaju funkciju koja sadržava znatan rizik od štetnih učinaka u smislu svojeg intenziteta i sposobnosti da našteti zdravlju, sigurnosti ili zaštiti korisnika takvih proizvoda te bi trebali biti podvrgnuti strožem postupku ocjenjivanja sukladnosti. To se odnosi na proizvode kao što su pametni kućanski proizvodi sa sigurnosnim funkcionalnostima, među ostalim i na pametne brave za vrata, sustave za nadzor male djece i alarmne sustave, povezane igračke i osobne nosive zdravstvene tehnološke proizvode. Nadalje, stroži postupci ocjenjivanja sukladnosti kojima se moraju podvrgnuti drugi proizvodi s digitalnim elementima koji su u ovoj Uredbi kategorizirani kao važni ili kritični proizvodi s digitalnim elementima pridonijet će sprečavanju mogućih negativnih učinaka iskorištavanja ranjivosti na potrošače.

(11)

Svrha je ove Uredbe osigurati visoku razinu kibernetičke sigurnosti proizvoda s digitalnim elementima i njihovih integriranih rješenja za daljinsku obradu podataka. Takva rješenja za daljinsku obradu podataka trebalo bi definirati kao obradu podataka na daljinu za koju je softver projektirao i razvio proizvođač tog proizvoda s digitalnim elementima ili je projektiran i razvijen u njegovo ime, a čiji bi nedostatak onemogućio da proizvod s digitalnim elementima obavlja neku od svojih funkcija. Tim se pristupom osigurava da proizvođači takve proizvode u cijelosti prikladno zaštite, neovisno o tome obrađuju li se ili pohranjuju podaci lokalno na uređaju korisnika ili ih obrađuje ili pohranjuje proizvođač na daljinu. Istodobno, obrada ili pohrana na daljinu obuhvaćeni su područjem primjene ove Uredbe samo u mjeri u kojoj su potrebni da proizvod s digitalnim elementima obavlja svoje funkcije. Takva obrada ili pohrana na daljinu uključuje situaciju u kojoj mobilna aplikacija zahtijeva pristup aplikacijskom programskom sučelju ili bazi podataka koji se pružaju uz pomoć usluge koju je razvio proizvođač. U tom je slučaju usluga obuhvaćena područjem primjene ove Uredbe kao rješenje za daljinsku obradu podataka. Zahtjevi koji se odnose na rješenja za daljinsku obradu podataka koja su obuhvaćena područjem primjene ove Uredbe stoga ne uključuju tehničke, operativne ili organizacijske mjere kojima je cilj upravljanje rizicima za sigurnost mrežnih i informacijskih sustava proizvođača u cjelini.

(12)

Rješenja u oblaku predstavljaju rješenja za daljinsku obradu podataka u smislu ove Uredbe samo ako odgovaraju definiciji utvrđenoj u ovoj Uredbi. Na primjer, funkcionalnosti omogućene oblakom koje pruža proizvođač pametnih kućanskih uređaja koje korisnicima omogućuju upravljanje uređajem na daljinu obuhvaćene su područjem primjene ove Uredbe. S druge strane, internetske stranice koje ne podržavaju funkcionalnost proizvoda s digitalnim elementima ili usluge u oblaku osmišljene i razvijene izvan odgovornosti proizvođača proizvoda s digitalnim elementima nisu obuhvaćene područjem primjene ove Uredbe. Direktiva (EU) 2022/2555 primjenjuje se na usluge računalstva u oblaku i modele usluga u oblaku kao što su softver kao usluga (SaaS), platforma kao usluga (PaaS) ili infrastruktura kao usluga (IaaS). Subjekti koji pružaju usluge računalstva u oblaku u Uniji koji pripadaju srednjim poduzećima u skladu s člankom 2. Priloga Preporuci 2003/361/EZ ili premašuju gornje granice za srednja poduzeća predviđene u stavku 1. tog članka obuhvaćeni su područjem primjene te direktive.

(13)

U skladu s ciljem ove Uredbe o uklanjanju prepreka za slobodno kretanje proizvoda s digitalnim elementima, države članice ne bi trebale sprečavati, kad je riječ o pitanjima obuhvaćenima ovom Uredbom, stavljanje na raspolaganje na tržištu proizvoda s digitalnim elementima koji su u skladu s ovom Uredbom. Stoga, kad je riječ o pitanjima usklađenima s ovom Uredbom, države članice ne mogu nametnuti dodatne zahtjeve u pogledu kibernetičke sigurnosti za stavljanje na raspolaganje na tržištu proizvoda s digitalnim elementima. Međutim, svaki javni ili privatni subjekt može utvrditi dodatne zahtjeve uz one utvrđene u ovoj Uredbi za nabavu ili upotrebu proizvoda s digitalnim elementima za svoje posebne svrhe te stoga može odlučiti upotrebljavati proizvode s digitalnim elementima koji ispunjavaju strože ili detaljnije zahtjeve u pogledu kibernetičke sigurnosti od onih koji su primjenjivi za stavljanje na raspolaganje na tržištu u skladu s ovom Uredbom. Ne dovodeći u pitanje direktive 2014/24/EU (7) i 2014/25/EU (8) Europskog parlamenta i Vijeća, pri nabavi proizvoda s digitalnim elementima, koji moraju biti u skladu s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi, uključujući one koji se odnose na postupanje s ranjivostima, države članice trebale bi osigurati da se takvi zahtjevi uzmu u obzir u postupku nabave i da se uzme u obzir i sposobnost proizvođača da djelotvorno primjenjuju mjere kibernetičke sigurnosti i upravljaju kibernetičkim prijetnjama. Nadalje, Direktivom (EU) 2022/2555 utvrđuju se mjere upravljanja kibernetičkim sigurnosnim rizicima za ključne i važne subjekte kako su navedeni u članku 3. te direktive koje bi mogle uključivati mjere za sigurnost lanca opskrbe kojima se zahtijeva da takvi subjekti upotrebljavaju proizvode s digitalnim elementima koji ispunjavaju strože zahtjeve u pogledu kibernetičke sigurnosti od onih utvrđenih u ovoj Uredbi. U skladu s Direktivom (EU) 2022/2555 i u skladu s njezinim načelom minimalnog usklađivanja države članice stoga mogu nametnuti dodatne zahtjeve u pogledu kibernetičke sigurnosti za upotrebu informacijske i komunikacijske tehnologije (IKT) proizvoda od strane ključnih ili važnih subjekata u skladu s tom direktivom kako bi se osigurala viša razina kibernetičke sigurnosti, pod uvjetom da su takvi zahtjevi u skladu s obvezama država članica utvrđenima u pravu Unije. Pitanja koja nisu obuhvaćena ovom Uredbom mogu uključivati netehničke čimbenike povezane s proizvodima s digitalnim elementima i njihovim proizvođačima. Države članice stoga mogu utvrditi nacionalne mjere, uključujući ograničenja za proizvode s digitalnim elementima ili dobavljače takvih proizvoda kojima se uzimaju u obzir netehnički čimbenici. Zahtijeva se da nacionalne mjere koje se odnose na takve čimbenike budu u skladu s pravom Unije.

(14)

Ovom Uredbom ne bi se trebala dovoditi u pitanje odgovornost država članica za zaštitu nacionalne sigurnosti, u skladu s pravom Unije. Države članice trebale bi moći podvrgnuti dodatnim mjerama proizvode s digitalnim elementima koji se nabavljaju ili upotrebljavaju u svrhe nacionalne sigurnosti ili obrane, pod uvjetom da su takve mjere u skladu s obvezama država članica utvrđenima u pravu Unije.

(15)

Ova se Uredba primjenjuje na gospodarske subjekte samo u vezi s proizvodima s digitalnim elementima koji su stavljeni na raspolaganje na tržištu i koji su stoga isporučeni za distribuciju ili upotrebu na tržištu Unije u okviru komercijalne djelatnosti. Opskrbu u okviru komercijalne djelatnosti moglo bi karakterizirati ne samo naplaćivanje određene cijene za proizvod s digitalnim elementima nego i naplaćivanje određene cijene za usluge tehničke podrške kada to ne služi samo povratu stvarnih troškova, s namjerom unovčavanja, primjerice pružanjem softverske platforme putem koje proizvođač unovčuje druge usluge, čiju upotrebu uvjetuje obradom osobnih podataka u svrhe koje nisu isključivo poboljšanje sigurnosti, kompatibilnosti ili interoperabilnosti softvera, ili prihvaćanje donacija koje premašuju troškove povezane s projektiranjem, razvojem i pružanjem proizvoda s digitalnim elementima. Prihvaćanje donacija bez namjere ostvarivanja dobiti ne bi se trebalo smatrati komercijalnom djelatnošću.

(16)

Proizvodi s digitalnim elementima koji se pružaju kao dio pružanja usluge za koju se naplaćuje naknada isključivo radi povrata stvarnih troškova izravno povezanih s funkcioniranjem te usluge, kao što to može biti slučaj s određenim proizvodima s digitalnim elementima koje pružaju subjekti javne uprave, ne bi se samo na temelju tih razloga trebali smatrati komercijalnom djelatnošću za potrebe ove Uredbe. Nadalje, proizvodi s digitalnim elementima koje je subjekt javne uprave razvio ili izmijenio isključivo za vlastitu upotrebu ne bi se trebali smatrati stavljenima na raspolaganje na tržištu u smislu ove Uredbe.

(17)

Softver i podaci koji se slobodno dijele i kojima korisnici mogu slobodno pristupiti, upotrebljavati ih, mijenjati i redistribuirati njih ili njihove izmijenjene verzije, mogu doprinijeti istraživanju i inovacijama na tržištu. Kako bi se poticali razvoj i korištenje besplatnog softvera otvorenog koda, posebno od strane mikropoduzeća te malih i srednjih poduzeća, uključujući start-up poduzeća, pojedince, neprofitne organizacije i akademske istraživačke organizacije, prilikom primjene ove Uredbe na proizvode s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda i isporučuju za distribuciju ili upotrebu u okviru komercijalne djelatnosti trebalo bi uzeti u obzir prirodu različitih razvojnih modela softvera koji se distribuiraju i razvijaju u okviru besplatnih licencija za softver otvorenog koda.

(18)

Besplatni softver otvorenog koda tumači se kao softver čiji se izvorni kod otvoreno dijeli i u čijoj su licenci predviđena sva prava kako bi ga se učinilo slobodno dostupnim, upotrebljivim, izmjenjivim i preraspodjeljivim. Besplatni softver otvorenog koda razvija se, održava i distribuira otvoreno, uključujući putem internetskih platformi. Kad je riječ o gospodarskim subjektima koji su obuhvaćeni područjem primjene ove Uredbe, područjem primjene ove Uredbe trebao bi biti obuhvaćen samo besplatan softver otvorenog koda koji je stavljen na raspolaganje na tržištu i koji se stoga isporučuje za distribuciju ili upotrebu u okviru komercijalne djelatnosti. Same okolnosti u kojima je proizvod s digitalnim elementima razvijen, ili način financiranja njegova razvoja, ne bi stoga trebalo uzimati u obzir pri određivanju komercijalne ili nekomercijalne prirode te djelatnosti. Točnije, za potrebe ove Uredbe i u odnosu na gospodarske subjekte koji su obuhvaćeni njezinim područjem primjene, kako bi se osigurala jasna razlika između faze razvoja i faze isporuke, pružanje proizvoda s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda koje njihovi proizvođači ne unovčuju ne bi trebalo smatrati komercijalnom djelatnošću. Nadalje, isporuku proizvoda s digitalnim elementima koji se smatraju besplatnim softverskim komponentama otvorenog koda namijenjenima tome da ih drugi proizvođači integriraju u vlastite proizvode s digitalnim elementima trebalo bi smatrati stavljanjem na raspolaganje na tržištu samo ako je izvorni proizvođač unovčio komponentu. Na primjer, sama činjenica da proizvod s digitalnim elementima sa softverom otvorenog koda prima financijsku potporu proizvođača ili da proizvođači doprinose razvoju takvog proizvoda sama po sebi ne bi trebala odrediti da je djelatnost komercijalne prirode. Osim toga, postojanje redovitih novih izdanja ne bi trebalo samo po sebi dovesti do zaključka da se proizvod s digitalnim elementima isporučuje u okviru komercijalne djelatnosti. Naposljetku, za potrebe ove Uredbe, razvoj od strane neprofitnih organizacija proizvoda s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda ne bi se trebao smatrati komercijalnom djelatnošću pod uvjetom da je organizacija ustrojena na način kojim se osigurava da se sva zarada nakon troškova upotrebljava za postizanje neprofitnih ciljeva. Ova se Uredba ne primjenjuje na fizičke ili pravne osobe koje izvornim kodom doprinose proizvodima s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda za koje nisu odgovorni.

(19)

Uzimajući u obzir važnost za kibernetičku sigurnost mnogih proizvoda s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda koji se objavljuju, ali se ne stavljaju na raspolaganje na tržištu u smislu ove Uredbe, pravne osobe koje na kontinuiranoj osnovi pružaju potporu za razvoj takvih proizvoda koji su namijenjeni komercijalnim djelatnostima i koje imaju vodeću ulogu u osiguravanju održivosti tih proizvoda (upravitelji softvera otvorenog koda) trebale bi podlijegati blagim i prilagođenim regulatornim režimima. Upravitelji softvera otvorenog koda uključuju određene zaklade kao i subjekte koji razvijaju i objavljuju besplatan softver otvorenog koda u poslovnom kontekstu, što uključuje neprofitne subjekte. Regulatorni režim trebao bi voditi računa o njihovoj specifičnosti i kompatibilnosti s vrstom nametnutih obveza. Trebao bi obuhvaćati samo proizvode s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda koji su u konačnici namijenjeni komercijalnim djelatnostima, kao što su integracija u komercijalne usluge ili u unovčene proizvode s digitalnim elementima. Za potrebe tog regulatornog režima namjera integracije u unovčene proizvode s digitalnim elementima uključuje slučajeve u kojima proizvođači koji integriraju komponentu u vlastite proizvode s digitalnim elementima redovito doprinose razvoju te komponente ili pružaju redovitu financijsku pomoć kako bi osigurali kontinuitet softverskog proizvoda. Pružanje kontinuirane potpore razvoju proizvoda s digitalnim elementima uključuje, među ostalim, smještaj na poslužitelju i upravljanje platformama za suradnju u razvoju softvera, smještaj izvornog koda ili softvera na poslužitelju, upravljanje ili raspolaganje proizvodima s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda, kao i upravljanje razvojem takvih proizvoda. S obzirom na to da se blagim i prilagođenim regulatornim režimom osobe koje djeluju kao upravitelji softvera otvorenog koda ne podvrgava istim obvezama kao osobe koje djeluju kao proizvođači u skladu s ovom Uredbom, ne bi im trebalo dopustiti stavljanje oznake CE na proizvode s digitalnim elementima čiji razvoj podržavaju.

(20)

Sam čin smještaja proizvoda s digitalnim elementima na otvorenim repozitorijima, među ostalim putem upravitelja paketima ili na platformama za suradnju, ne predstavlja sam po sebi stavljanje na raspolaganje na tržištu proizvoda s digitalnim elementima. Pružatelje takvih usluga trebalo bi smatrati distributerima samo ako takav softver stavljaju na raspolaganje na tržištu i stoga ga isporučuju za distribuciju ili upotrebu na tržištu Unije u okviru komercijalne djelatnosti.

(21)

Kako bi se poduprla i olakšala dužna pažnja proizvođača koji u svoje proizvode s digitalnim elementima integriraju besplatne softverske komponente otvorenog koda koje ne podliježu bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi, Komisija bi trebala moći uspostaviti dobrovoljne programe potvrda o sigurnosti delegiranim aktom o dopuni ove Uredbe ili zahtijevanjem europskog programa kibernetičke sigurnosne certifikacije u skladu s člankom 48. Uredbe (EU) 2019/881 kojim se uzimaju u obzir posebnosti razvojnih modela besplatnog softvera otvorenog koda. Programe potvrda o sigurnosti trebalo bi osmisliti tako da ne samo fizičke ili pravne osobe koje razvijaju proizvod s digitalnim elementima koji se smatra besplatnim softverom otvorenog koda ili doprinose njegovu razvoju mogu pokrenuti ili financirati potvrdu o sigurnosti, nego i treće strane, kao što su proizvođači koji takve proizvode integriraju u vlastite proizvode s digitalnim elementima, korisnici ili javne uprave Unije i nacionalne javne uprave.

(22)

S obzirom na ciljeve ove Uredbe u području kibernetičke sigurnosti u javnom sektoru i kako bi se poboljšala informiranost država članica o stanju u pogledu ovisnosti Unije o softverskim komponentama, a posebno o potencijalno besplatnim softverskim komponentama otvorenog koda, posebna skupina za administrativnu suradnju (skupina za ADCO) osnovana ovom Uredbom trebala bi moći odlučiti zajednički provesti procjenu ovisnosti Unije. Tijela za nadzor tržišta trebala bi moći od proizvođača kategorija proizvoda s digitalnim elementima, koje je utvrdila skupina za ADCO, zatražiti da dostave popis softverskog materijala koji su izradili u skladu s ovom Uredbom. Kako bi se zaštitila povjerljivost popisa softverskog materijala, tijela za nadzor tržišta trebala bi skupini za ADCO dostaviti relevantne informacije o ovisnostima u anonimiziranom i objedinjenom obliku.

(23)

Djelotvornost provedbe ove Uredbe ovisit će i o dostupnosti odgovarajućih vještina u području kibernetičke sigurnosti. U raznim programskim i političkim dokumentima na razini Unije, uključujući Komunikaciju Komisije od 18. travnja 2023. naslovljenu „Povećanjem broja stručnjaka za kibernetičku sigurnost do veće konkurentnosti, rasta i otpornosti Unije” i zaključke Vijeća od 22. svibnja 2023. o politici Unije u području kibernetičke obrane, prepoznati su nedostatak vještina u području kibernetičke sigurnosti u Uniji i potreba za prioritetnim svladavanjem takvih izazova, i u javnom i u privatnom sektoru. Kako bi se osigurala djelotvorna provedba ove Uredbe, države članice trebale bi osigurati da su dostupna odgovarajući resursi za zapošljavanje prikladnog broja osoblja tijela za nadzor tržišta i tijela za ocjenjivanje sukladnosti potrebnog za obavljanje njihovih zadaća kako su utvrđene u ovoj Uredbi. Tim bi se mjerama trebala ojačati mobilnost radne snage u području kibernetičke sigurnosti i s time povezanih karijera. Te mjere trebale bi također pridonijeti povećanju otpornosti i uključivosti radne snage u području kibernetičke sigurnosti, među ostalim u pogledu roda. Države članice stoga bi trebale poduzeti mjere kako bi se pobrinule da te zadaće obavljaju adekvatno osposobljeni stručnjaci s potrebnim vještinama u području kibernetičke sigurnosti. Slično tome, proizvođači bi trebali osigurati da njihovo osoblje ima potrebne vještine za ispunjavanje obveza kako su utvrđene u ovoj Uredbi. Države članice i Komisija, u skladu sa svojim ovlastima i nadležnostima te posebnim zadaćama koje su im dodijeljene ovom Uredbom, trebale bi poduzeti mjere za pružanje potpore proizvođačima, a posebno mikropoduzećima te malim i srednjim poduzećima, uključujući start-up poduzeća, među ostalim i u područjima kao što je razvoj vještina, u svrhu usklađenosti sa svojim obvezama utvrđenima u ovoj Uredbi. Nadalje, budući da se Direktivom (EU) 2022/2555 od država članica zahtijeva da u okviru svojih nacionalnih strategija za kibernetičku sigurnost donesu politike kojima se promiču i razvijaju osposobljavanje u području kibernetičke sigurnosti i vještine u pogledu kibernetičke sigurnosti, države članice mogu pri donošenju takvih strategija također razmotriti hoće li odgovoriti na potrebe za vještinama u području kibernetičke sigurnosti koje proizlaze iz ove Uredbe, uključujući potrebe koje se odnose na prekvalifikaciju i usavršavanje.

(24)

Siguran internet neophodan je za funkcioniranje kritičnih infrastruktura i društva u cjelini. Direktivom (EU) 2022/2555 nastoji se osigurati visoka razina kibernetičke sigurnosti usluga koje pružaju ključni i važni subjekti kako su navedeni u članku 3. te direktive, uključujući pružatelje digitalne infrastrukture koji podupiru osnovne funkcije otvorenog interneta te osiguravaju pristup internetu i pružaju internetske usluge. Stoga je važno da se proizvodi s digitalnim elementima koji su pružateljima digitalne infrastrukture potrebni za osiguravanje funkcioniranja interneta razvijaju na siguran način i da su u skladu s uvriježenim standardima u području internetske sigurnosti. Ovom Uredbom, koja se primjenjuje na sve povezive hardverske i softverske proizvode, nastoji se i pružateljima digitalne infrastrukture olakšati usklađenost sa zahtjevima koji se odnose na lance opskrbe na temelju Direktive (EU) 2022/2555 tako što se osigurava da se proizvodi s digitalnim elementima koje pružatelji digitalne infrastrukture upotrebljavaju za pružanje usluga razvijaju sigurno i da imaju pristup pravodobnim sigurnosnim ažuriranjima za takve proizvode.

(25)

Uredbom (EU) 2017/745 Europskog parlamenta i Vijeća (9) utvrđuju se pravila za medicinske proizvode, a Uredbom (EU) 2017/746 Europskog parlamenta i Vijeća (10) za in vitro dijagnostičke medicinske proizvode. Tim se uredbama odgovara na kibernetičke sigurnosne rizike te se temelje na posebnim pristupima, o kojima govori i ova Uredba. Točnije, uredbama (EU) 2017/745 i (EU) 2017/746 utvrđuju se bitni zahtjevi za medicinske proizvode koji funkcioniraju putem elektroničkog sustava ili koji su sami po sebi softver. Tim uredbama obuhvaćeni su i određeni neugrađeni softver te pristup koji se temelji na cijelom životnom ciklusu. Tim se zahtjevima od proizvođača zahtijeva da pri razvoju i izradi svojih proizvoda primjenjuju načelâ upravljanja rizikom i utvrđuju zahtjeve koji se odnose na mjere IT sigurnosti te odgovarajuće postupke ocjenjivanja sukladnosti. Nadalje, od prosinca 2019. na snazi su posebne smjernice za kibernetičku sigurnost medicinskih proizvoda kojima se proizvođačima medicinskih proizvoda, uključujući in vitro dijagnostičke proizvode, pružaju smjernice o tome kako ispuniti sve relevantne bitne zahtjeve utvrđene u Prilogu I. tim uredbama u pogledu kibernetičke sigurnosti. Stoga proizvodi na koje se primjenjuje bilo koja od tih uredbi ne bi trebali podlijegati ovoj Uredbi.

(26)

Proizvodi s digitalnim elementima koji su razvijeni ili izmijenjeni isključivo u svrhe nacionalne sigurnosti ili obrane ili proizvodi koji su posebno osmišljeni za obradu klasificiranih podataka nisu obuhvaćeni područjem primjene ove Uredbe. Države članice se potiču da osiguraju istu ili višu razinu zaštite za te proizvode kao i za one koji su obuhvaćeni područjem primjene ove Uredbe.

(27)

Uredbom (EU) 2019/2144 Europskog parlamenta i Vijeća (11) utvrđeni su zahtjevi za homologaciju tipa vozila i njihovih sustava i sastavnih dijelova te su pritom uvedeni određeni zahtjevi u pogledu kibernetičke sigurnosti, među ostalim u pogledu rada certificiranog sustava upravljanja kibernetičkom sigurnošću i ažuriranja softvera, koji se odnose na politike i postupke organizacijâ za upravljanje kibernetičkim sigurnosnim rizicima tijekom cijelog životnog ciklusa vozila, opreme i usluga u skladu s primjenjivim pravilnicima Ujedinjenih naroda o tehničkim specifikacijama i kibernetičkoj sigurnosti, posebice s Pravilnikom UN-a br. 155 – Jedinstvene odredbe o homologaciji vozila s obzirom na kibernetičku sigurnost i sustav za upravljanje kibernetičkom sigurnošću (12), te na posebne postupke ocjenjivanja sukladnosti. U području zrakoplovstva, glavni je cilj Uredbe (EU) 2018/1139 Europskog parlamenta i Vijeća (13) uspostaviti i održavati visoku ujednačenu razinu sigurnosti civilnog zrakoplovstva u Uniji. Tom je uredbom uspostavljen okvir za bitne zahtjeve u pogledu plovidbenosti za aeronautičke proizvode, dijelove i opremu, uključujući softver, koji uključuje obveze zaštite od prijetnji povezanih sa sigurnošću informacija. Postupkom certifikacije na temelju Uredbe (EU) 2018/1139 postiže se razina jamstva koja se nastoji postići ovom Uredbom. Stoga proizvodi s digitalnim elementima na koje se primjenjuje Uredba (EU) 2019/2144 i proizvodi certificirani u skladu s Uredbom (EU) 2018/1139 ne bi trebali podlijegati bitnim zahtjevima u pogledu kibernetičke sigurnosti i postupcima ocjenjivanja sukladnosti utvrđenima u ovoj Uredbi.

(28)

Ovom se Uredbom utvrđuju horizontalna pravila o kibernetičkoj sigurnosti koja nisu specifična za sektore ili određene proizvode s digitalnim elementima. Međutim, mogla bi se uvesti Unijina sektorska pravila ili pravila za pojedine proizvode kojima se utvrđuju zahtjevi koji se odnose na sve ili neke rizike obuhvaćene bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi. U takvim se slučajevima ova Uredba na proizvode s digitalnim elementima obuhvaćene drugim pravilima Unije kojima se utvrđuju zahtjevi koji se odnose na sve ili neke rizike obuhvaćene bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi može primjenjivati ograničeno ili njezina primjena može biti isključena ako je takvo ograničenje odnosno takvo isključenje primjene u skladu s općim regulatornim okvirom koji se primjenjuje na te proizvode i ako se sektorskim pravilima postiže barem razina zaštite jednaka onoj propisanoj ovom Uredbom. Komisiju bi trebalo ovlastiti za donošenje delegiranih akata radi dopune ove Uredbe utvrđivanjem takvih proizvoda i pravila. Kad je riječ o postojećem pravu Unije u odnosu na koje bi se trebalo primjenjivati takvo ograničenje odnosno takvo isključenje primjene, ova Uredba sadržava posebne odredbe kako bi se pojasnio njezin odnos s tim pravom Unije.

(29)

Kako bi se osiguralo da se proizvodi s digitalnim elementima koji su stavljeni na raspolaganje na tržištu mogu djelotvorno popraviti, a njihova trajnost produljiti, trebalo bi predvidjeti izuzeće za rezervne dijelove. To bi izuzeće trebalo obuhvatiti i rezervne dijelove u svrhu popravka naslijeđenih proizvoda koji su stavljeni na raspolaganje prije datuma početka primjene ove Uredbe te rezervne dijelove koji su već prošli postupak ocjenjivanja sukladnosti u skladu s ovom Uredbom.

(30)

Delegiranom uredbom Komisije (EU) 2022/30 (14) utvrđeno je da se na određenu radijsku opremu primjenjuje niz bitnih zahtjeva iz članka 3. stavka 3. točaka (d), (e) i (f) Direktive 2014/53/EU Europskog parlamenta i Vijeća (15) koji se odnose na štetu za mrežu i zlouporabu mrežnih resursa, osobne podatke i privatnost te prijevaru. Provedbenom odlukom Komisije C(2022) 5637 od 5. kolovoza 2022. o zahtjevu za normizaciju upućenom Europskom odboru za normizaciju i Europskom odboru za elektrotehničku normizaciju utvrđeni su zahtjevi za izradu posebnih normi kojima se pobliže određuje kako bi trebalo ispuniti te bitne zahtjeve. Bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u ovoj Uredbi uključuju sve elemente bitnih zahtjeva iz članka 3. stavka 3. točaka (d), (e) i (f) Direktive 2014/53/EU. Nadalje, bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u ovoj Uredbi usklađeni su s ciljevima zahtjevâ za posebne norme uključene u taj zahtjev za normizaciju. Dakle, kada Komisija Delegiranu uredbu (EU) 2022/30 stavi izvan snage ili je izmijeni tako da se ona prestane primjenjivati na određene proizvode koji podliježu ovoj Uredbi, Komisija i europske organizacije za normizaciju trebale bi u okviru pripreme i izrade usklađenih normi radi lakše provedbe ove Uredbe uzeti u obzir rad na normizaciji proveden u kontekstu Provedbene odluke C(2022)5637. Tijekom prijelaznog razdoblja za primjenu ove Uredbe Komisija bi trebala pružiti smjernice proizvođačima koji podliježu i ovoj Uredbi i Delegiranoj uredbi (EU) 2022/30 radi olakšavanja dokazivanja usklađenosti s tim dvjema uredbama.

(31)

Direktiva (EU) 2024/2853 Europskog parlamenta i Vijeća (16) dopunjava ovu Uredbu. Tom direktivom utvrđena su pravila o odgovornosti za neispravne proizvode kako bi oštećene osobe mogle zatražiti naknadu ako su štetu prouzročili neispravni proizvodi. Njome je uspostavljeno načelo da je proizvođač proizvoda odgovoran za štetu prouzročenu nedovoljnom sigurnošću njegova proizvoda, neovisno o krivnji („objektivna odgovornost”). Ako se takvo pomanjkanje sigurnosti sastoji od nedostatka sigurnosnih ažuriranja nakon stavljanja proizvoda na tržište i to prouzroči štetu, proizvođač bi mogao snositi odgovornost. Obveze proizvođača koje se odnose na pružanje takvih sigurnosnih ažuriranja trebalo bi utvrditi ovom Uredbom.

(32)

Ovom se Uredbom ne bi trebalo dovoditi u pitanje Uredbu (EU) 2016/679 Europskog parlamenta i Vijeća (17), uključujući odredbe koje se odnose na uspostavu mehanizama certificiranja zaštite podataka te pečata i oznaka za zaštitu podataka za potrebe dokazivanja usklađenosti postupaka obrade koje obavljaju voditelji i izvršitelji obrade s tom uredbom. Takvi bi se postupci mogli ugraditi u proizvod s digitalnim elementima. Tehnička i integrirana zaštita podataka te općenito kibernetička sigurnost ključni su elementi Uredbe (EU) 2016/679. Štiteći potrošače i organizacije od kibernetičkih sigurnosnih rizika, bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u ovoj Uredbi trebali bi doprinijeti i poboljšanju zaštite osobnih podataka i privatnosti pojedinaca. Trebalo bi razmotriti sinergije u području normizacije i certifikacije s obzirom na aspekte kibernetičke sigurnosti u okviru suradnje između Komisije, europskih organizacija za normizaciju, Agencije Europske unije za kibersigurnost (ENISA), Europskog odbora za zaštitu podataka uspostavljenog Uredbom (EU) 2016/679 i nacionalnih nadzornih tijela za zaštitu podataka. Sinergije između ove Uredbe i prava Unije o zaštiti podataka trebalo bi stvoriti i u području nadzora tržišta i izvršavanja. U tu bi svrhu nacionalna tijela za nadzor tržišta imenovana na temelju ove Uredbe trebala surađivati s tijelima koja nadziru primjenu prava Unije o zaštiti podataka. Tijela koja nadziru primjenu prava Unije o zaštiti podataka trebala bi ujedno imati pristup informacijama relevantnima za obavljanje svojih zadaća.

(33)

U mjeri u kojoj su njihovi proizvodi obuhvaćeni područjem primjene ove Uredbe, pružatelji europskih lisnica za digitalni identitet iz članka 5.a stavka 2. Uredbe (EU) br. 910/2014 Europskog parlamenta i Vijeća (18) trebali bi biti u skladu s horizontalnim bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi i posebnim sigurnosnim zahtjevima utvrđenima u članku 5.a Uredbe (EU) br. 910/2014. Kako bi se olakšala usklađenost, pružatelji lisnica trebali bi moći certificiranjem svojih proizvoda u okviru europskog programa kibernetičke sigurnosne certifikacije koji je uspostavljen na temelju Uredbe (EU) 2019/881, i za koji je Komisija delegiranim aktima utvrdila da stvara pretpostavku sukladnosti s ovom Uredbom, dokazati usklađenost europskih lisnica za digitalni identitet sa zahtjevima utvrđenima u ovoj Uredbi odnosno Uredbi (EU) br. 910/2014, u mjeri u kojoj certifikat, ili njegovi dijelovi, obuhvaća te zahtjeve.

(34)

Kako bi osigurali da su proizvodi projektirani, razvijeni i proizvedeni u skladu s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi, pri integraciji komponenti koje potječu od trećih strana u proizvode s digitalnim elementima tijekom faze projektiranja i razvoja proizvođači bi trebali postupati s dužnom pažnjom u pogledu tih komponenti, uključujući besplatne softverske komponente otvorenog koda koje nisu stavljene na raspolaganje na tržištu. Odgovarajuća razina dužne pažnje ovisi o prirodi i razini kibernetičkog sigurnosnog rizika povezanoj s određenom komponentom te u tu svrhu treba razmotriti jednu ili više sljedećih mjera: provjeriti, kako je primjenjivo, je li proizvođač komponente dokazao sukladnost s ovom Uredbom, među ostalim provjerom ima li komponenta već oznaku CE; provjeriti je li komponenta redovito sigurnosno ažurirana, primjerice pregledom povijesti sigurnosnih ažuriranja; provjeriti da u komponenti nema ranjivosti registriranih u europskoj bazi podataka o ranjivostima uspostavljenoj u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555 ili u drugim javno dostupnim bazama podataka o ranjivostima; ili provesti dodatna sigurnosna ispitivanja. Obveze u pogledu postupanja s ranjivostima utvrđene u ovoj Uredbi, koje proizvođači moraju ispunjavati pri stavljanju proizvoda s digitalnim elementima na tržište i tijekom razdoblja potpore, primjenjuju se na proizvode s digitalnim elementima u cijelosti, uključujući sve integrirane komponente. Ako tijekom postupanja s dužnom pažnjom proizvođač proizvoda s digitalnim elementima utvrdi ranjivost u pojedinoj komponenti, uključujući u besplatnoj komponenti otvorenog koda, trebao bi obavijestiti osobu ili subjekt koji je proizveo komponentu ili je održava, otkloniti i ispraviti ranjivost te, ako je primjenjivo, pružiti dotičnoj osobi ili dotičnom subjektu provedbu sigurnosnog popravka.

(35)

Odmah nakon prijelaznog razdoblja za primjenu ove Uredbe proizvođač proizvoda s digitalnim elementima koji integrira jednu ili više komponenti koje potječu od trećih strana i koje također podliježu ovoj Uredbi, možda neće moći u okviru svoje obveze dužne pažnje provjeriti jesu li proizvođači tih komponenti dokazali sukladnost s ovom Uredbom, primjerice, provjerom toga imaju li te komponente već oznaku CE. To može biti slučaj ako su komponente integrirane prije početka primjene ove Uredbe na proizvođače tih komponenti. U tom bi slučaju proizvođač koji je integrirao takve komponente trebao postupati s dužnom pažnjom na druge načine.

(36)

Proizvodi s digitalnim elementima trebali bi imati oznaku CE kao vidljivi, čitljivi i neizbrisivi znak sukladnosti s ovom Uredbom kako bi se mogli slobodno kretati na unutarnjem tržištu. Države članice ne bi trebale stvarati neopravdane zapreke stavljanju na tržište proizvoda s digitalnim elementima koji su sukladni sa zahtjevima iz ove Uredbe i imaju oznaku CE. Nadalje, države članice ne bi trebale sprečavati izlaganje ni upotrebu proizvoda s digitalnim elementima, uključujući njegov prototip, koji nije u skladu s ovom Uredbom, na sajmovima, izložbama, predstavljanjima ili sličnim događanjima, pod uvjetom da proizvod ima vidljiv znak kojim se jasno navodi da proizvod nije u skladu s ovom Uredbom i da ne smije biti stavljen na raspolaganje na tržištu dok ne bude u skladu s njom.

(37)

Kako bi se osiguralo da proizvođači mogu izdavati softver u svrhu testiranja prije podvrgavanja svojih proizvoda s digitalnim elementima ocjenjivanju sukladnosti, države članice ne bi trebale sprečavati stavljanje na raspolaganje nedovršenog softvera, kao što su alfa verzije, beta verzije ili potencijalne verzije za izdavanje, pod uvjetom da je nedovršeni softver stavljen na raspolaganje samo tijekom razdoblja potrebnog za njegovo testiranje i prikupljanje povratnih informacija. Proizvođači bi trebali osigurati da se softver koji se stavi na raspolaganje pod tim uvjetima izda tek nakon procjene rizika i da je u mjeri u kojoj je to moguće sukladan sa sigurnosnim zahtjevima utvrđenima u ovoj Uredbi koji se odnose na svojstva proizvoda s digitalnim elementima. Proizvođači bi u najvećoj mogućoj mjeri trebali provoditi i zahtjeve u pogledu postupanja s ranjivostima. Proizvođači ne bi trebali korisnike primoravati na nadogradnje na verzije izdane samo radi testiranja.

(38)

Kako bi se osiguralo da proizvodi s digitalnim elementima kad su stavljeni na tržište ne predstavljaju kibernetičke sigurnosne rizike za osobe i organizacije, trebalo bi utvrditi bitne zahtjeve u pogledu kibernetičke sigurnosti za takve proizvode. Ti bitni zahtjevi u pogledu kibernetičke sigurnosti, uključujući zahtjeve u pogledu upravljanja ranjivostima, primjenjuju se na svaki pojedinačni proizvod s digitalnim elementima kada se stavlja na tržište, neovisno o tome je li proizvod s digitalnim elementima proizveden kao pojedinačna jedinica ili dio serije. Na primjer, za vrstu proizvoda svaki pojedinačni proizvod s digitalnim elementima trebao je pri stavljanju na tržište dobiti sve sigurnosne zakrpe ili ažuriranja dostupne radi odgovaranja na relevantne sigurnosne probleme. Kad se proizvodi s digitalnim elementima naknadno mijenjaju, fizičkim ili digitalnim sredstvima, na način koji proizvođač nije predvidio u prvotnoj procjeni rizika i koji može ukazivati na to da više ne ispunjavaju relevantne bitne zahtjeve u pogledu kibernetičke sigurnosti, takva izmjena trebala bi se smatrati bitnom. Na primjer, popravci softvera mogu se izjednačiti s održavanjem pod uvjetom da se njima proizvod s digitalnim elementima koji je već stavljen na tržište ne mijenja na takav način da to može utjecati na usklađenost s primjenjivim zahtjevima ili promijeniti namjenu za koju je proizvod ocijenjen.

(39)

Kao i u slučaju fizičkih popravaka ili izmjena, proizvod s digitalnim elementima trebao bi se smatrati bitno izmijenjenim softverskom promjenom ako se ažuriranjem softvera izmijeni namjena tog proizvoda, a proizvođač te promjene nije predvidio u prvotnoj procjeni rizika ili ako se zbog ažuriranja softvera promijenila priroda opasnosti ili povećala razina kibernetičkog sigurnosnog rizika te je ažurirana verzija proizvoda stavljena na raspolaganje na tržištu. Ako se sigurnosnim ažuriranjem koje je projektirano kako bi se smanjila razina kibernetičkog sigurnosnog rizika proizvoda s digitalnim elementima ne mijenja namjena proizvoda s digitalnim elementima, ono se ne smatra bitnom izmjenom. To obično uključuje situacije u kojima sigurnosno ažuriranje podrazumijeva samo manje prilagodbe izvornog koda. Na primjer, to bi mogao biti slučaj kada se sigurnosnim ažuriranjem ispravlja poznata ranjivost, među ostalim izmjenom funkcija ili performansi proizvoda s digitalnim elementima isključivo u svrhu smanjenja razine kibernetičkog sigurnosnog rizika. Slično tomu, manje ažuriranje funkcionalnosti, kao što je vizualno poboljšanje ili dodavanje novih piktograma ili jezika korisničkom sučelju, općenito se ne bi trebalo smatrati bitnom izmjenom. S druge strane, ako se ažuriranjem značajke mijenjaju izvorno predviđena funkcija ili vrsta ili performanse proizvoda s digitalnim elementima i ispunjavaju se gore navedeni kriteriji, ono bi se trebalo smatrati bitnom izmjenom jer dodavanje novih značajki obično dovodi do šire površine napada, čime se povećava kibernetički sigurnosni rizik. Na primjer, to bi mogao biti slučaj kada se aplikaciji dodaje novi ulazni element kojim se od proizvođača zahtijeva da osigura odgovarajuću potvrdu ulaznih podataka. Pri procjeni smatra li se ažuriranje značajke bitnom izmjenom nije relevantno je li riječ o zasebnom ažuriranju ili kombinaciji sa sigurnosnim ažuriranjem. Komisija bi trebala izdati smjernice o tome kako odrediti što predstavlja bitnu izmjenu.

(40)

Uzimajući u obzir iterativnu prirodu razvoja softvera, proizvođači koji su naknadne verzije softverskog proizvoda stavili na tržište kao rezultat naknadne bitne izmjene tog proizvoda trebali bi moći pružati sigurnosna ažuriranja tijekom razdoblja potpore samo za posljednju verziju softverskog proizvoda koju su stavili na tržište. To bi trebali moći učiniti samo ako korisnici relevantnih prethodnih verzija proizvoda imaju besplatan pristup posljednjoj verziji proizvoda koja je stavljena na tržište i ne snose dodatne troškove za prilagodbu hardverskog ili softverskog okruženja u kojem se koriste proizvodom. To bi, na primjer, mogao biti slučaj kada se za nadogradnju operativnog sustava stolnog računala ne zahtijeva novi hardver, kao što je brža središnja procesorska jedinica ili više memorije. Međutim, proizvođač bi tijekom razdoblja potpore trebao i dalje biti u skladu s drugim zahtjevima u pogledu postupanja s ranjivostima, kao što su postojanje politike koordiniranog otkrivanja ranjivosti ili mjere uspostavljene za olakšavanje dijeljenja informacija o potencijalnim ranjivostima za sve naknadne bitno izmijenjene verzije softverskog proizvoda stavljenog na tržište. Proizvođači bi trebali moći pružati manja sigurnosna ažuriranja ili ažuriranja funkcionalnosti koja ne predstavljaju bitnu izmjenu samo za najnoviju verziju ili podverziju softverskog proizvoda koji nije bitno izmijenjen. U isto vrijeme, ako hardverski proizvod, kao što je pametni telefon, nije kompatibilan s najnovijom verzijom operativnog sustava s kojim je izvorno isporučen, proizvođač bi trebao nastaviti pružati, tijekom razdoblja potpore, sigurnosna ažuriranja barem za posljednju kompatibilnu verziju operativnog sustava.

(41)

U skladu s uvriježenim konceptom bitne izmjene za proizvode uređene zakonodavstvom Unije o usklađivanju primjereno je da se za proizvod s digitalnim elementima provjeri usklađenost i, ako je primjenjivo, provede novi postupak ocjenjivanja sukladnosti ako nastupi bitna izmjena koja može utjecati na usklađenost proizvoda s digitalnim elementima s ovom Uredbom ili kad se promijeni namjena tog proizvoda. Ako je primjenjivo, ako proizvođač provodi ocjenjivanje sukladnosti koje uključuje treću stranu, treću stranu trebalo bi obavijestiti o promjeni koja bi mogla dovesti do bitne izmjene.

(42)

Ako proizvod s digitalnim elementima podliježe „obnovi”, „održavanju” i „popravku” kako su definirani u članku 2. točkama 18., 19. i 20. Uredbe (EU) 2024/1781 Europskog parlamenta i Vijeća (19), to nužno ne dovodi do bitne izmjene proizvoda, primjerice ako se ne promijene namjena i funkcionalnosti te razina rizika ostane nepromijenjena. Međutim, nadogradnja proizvoda s digitalnim elementima koju je učinio proizvođač mogla bi dovesti do promjena u projektu i razvoju tog proizvoda te bi stoga mogla utjecati na njegovu namjenu i njegovu usklađenost sa zahtjevima utvrđenima u ovoj Uredbi.

(43)

Proizvodi s digitalnim elementima trebali bi se smatrati važnima ako negativni učinci iskorištavanja potencijalnih ranjivosti u proizvodima mogu biti teški zbog, među ostalim, njihove funkcionalnosti povezane s kibernetičkom sigurnošću ili funkcije koja sa sobom nosi znatan rizik od štetnih učinaka u smislu svojeg intenziteta i sposobnosti ometanja, kontrole ili nanošenja štete velikom broju drugih proizvoda s digitalnim elementima ili zdravlju, sigurnosti ili zaštiti svojih korisnika izravnom manipulacijom, kao što je funkcija središnjeg sustava, među ostalim upravljanje mrežom, kontrola konfiguracije, virtualizacija ili obrada osobnih podataka. Osobito, ranjivosti u proizvodima s digitalnim elementima koji imaju funkcionalnost povezanu s kibernetičkom sigurnošću, kao što su upravitelji pokretanja sustava, mogu dovesti do širenja sigurnosnih problema cijelim lancem opskrbe. Težina učinka incidenta može se također povećati ako proizvod prvenstveno obavlja funkciju središnjeg sustava, uključujući upravljanje mrežom, kontrolu konfiguracije, virtualizaciju ili obradu osobnih podataka.

(44)

Određene kategorije proizvoda s digitalnim elementima trebale bi podlijegati strožim postupcima ocjenjivanja sukladnosti, pri čemu bi se trebao zadržati proporcionalan pristup. U tu bi svrhu važne proizvode s digitalnim elementima trebalo podijeliti u dva razreda koja odražavaju razinu kibernetičkog sigurnosnog rizika povezanog s tim kategorijama proizvoda. Incident koji uključuje važne proizvode s digitalnim elementima koji pripadaju u II. razred mogao bi dovesti do većih negativnih učinaka od incidenta koji uključuje važne proizvode s digitalnim elementima koji pripadaju u I. razred, na primjer zbog prirode njihove funkcije povezane s kibernetičkom sigurnošću ili zbog obavljanja druge funkcije koja nosi znatan rizik od štetnih učinaka. Kao pokazatelj takvih većih negativnih učinaka, proizvodi s digitalnim elementima koji pripadaju u II. razred mogli bi obavljati kibernetičku sigurnosnu funkcionalnost ili drugu funkciju koja nosi znatan rizik od štetnih učinaka koji je veći nego za one navedene u I. razredu, ili ispunjavaju oba prethodno navedena kriterija. Važni proizvodi s digitalnim elementima koji pripadaju u II. razred stoga bi trebali podlijegati strožem postupku ocjenjivanja sukladnosti.

(45)

Važne proizvode s digitalnim elementima iz ove Uredbe trebalo bi tumačiti kao proizvode koji imaju osnovnu funkcionalnost kategorije važnih proizvoda s digitalnim elementima koja je utvrđena u ovoj Uredbi. Na primjer, ovom se Uredbom utvrđuju kategorije važnih proizvoda s digitalnim elementima koji su definirani prema svojoj osnovnoj funkcionalnosti kao vatrozidovi ili sustavi za otkrivanje ili sprečavanje neovlaštenih upada u II. razredu. Zato vatrozidovi te sustavi za otkrivanje ili sprečavanje neovlaštenih upada podliježu obveznom ocjenjivanju sukladnosti koje provodi treća strana. To nije slučaj s drugim proizvodima s digitalnim elementima koji nisu kategorizirani kao važni proizvodi s digitalnim elementima koji mogu integrirati vatrozidove ili sustave za otkrivanje ili sprečavanje neovlaštenih upada. Komisija bi trebala donijeti provedbeni akt kojim se pobliže određuje tehnički opis kategorija važnih proizvoda s digitalnim elementima koji pripadaju I. i II. razredu, kako je utvrđeno u ovoj Uredbi.

(46)

Kategorije kritičnih proizvoda s digitalnim elementima utvrđene u ovoj Uredbi imaju funkcionalnost povezanu s kibernetičkom sigurnošću i obavljaju funkciju koja nosi znatan rizik od štetnih učinaka u smislu intenziteta i sposobnosti ometanja, kontrole ili nanošenja štete velikom broju drugih proizvoda s digitalnim elementima izravnom manipulacijom. Nadalje, te kategorije proizvoda s digitalnim elementima smatraju se kritičnim ovisnostima za ključne subjekte iz članka 3. stavka 1. Direktive (EU) 2022/2555. Kategorije kritičnih proizvoda s digitalnim elementima navedene u prilogu ovoj Uredbi zbog svoje kritičnosti već se u velikoj mjeri koriste različitim oblicima certifikacije te su obuhvaćene i europskim programom kibernetičke sigurnosne certifikacije na temelju zajedničkih kriterija (EUCC) utvrđenim u Provedbenoj uredbi Komisije (EU) 2024/482 (20). Stoga bi, kako bi se osigurala zajednička odgovarajuća kibernetička sigurnosna zaštita kritičnih proizvoda s digitalnim elementima u Uniji, moglo biti prikladno i proporcionalno da se takve kategorije proizvoda delegiranim aktom podvrgnu obveznoj europskoj kibernetičkoj sigurnosnoj certifikaciji ako je već uspostavljen relevantni europski program kibernetičke sigurnosne certifikacije koji obuhvaća te proizvode i ako je Komisija provela procjenu mogućeg učinka predviđene obvezne certifikacije na tržište. U toj bi procjeni trebalo razmotriti i ponudu i potražnju, među ostalim postoji li dostatna potražnja za predmetnim proizvodima s digitalnim elementima iz država članica i od korisnika kako bi se zahtijevala europska kibernetička sigurnosna certifikacija, kao i svrhe u koje su proizvodi s digitalnim elementima namijenjeni, među ostalim kritične ovisnosti ključnih subjekata kako su navedeni u članku 3. stavku 1. Direktive (EU) 2022/2555 o tim proizvodima. U procjeni bi trebalo analizirati i moguće učinke obvezne certifikacije na dostupnost tih proizvoda na unutarnjem tržištu te sposobnosti i spremnost država članica za provedbu relevantnih europskih programa kibernetičke sigurnosne certifikacije.

(47)

Delegiranim aktima kojima se zahtijeva obvezna europska kibernetička sigurnosna certifikacija trebalo bi utvrditi proizvode s digitalnim elementima koji imaju osnovnu funkcionalnost kategorije kritičnih proizvoda s digitalnim elementima utvrđene u ovoj Uredbi koji podliježu obveznoj certifikaciji, kao i potrebnu razinu jamstva koja bi trebala biti barem „znatna”. Potrebna razina jamstva trebala bi biti proporcionalna razini kibernetičkog sigurnosnog rizika povezanog s proizvodom s digitalnim elementima. Na primjer, ako proizvod s digitalnim elementima ima osnovnu funkcionalnost kategorije kritičnih proizvoda s digitalnim elementima utvrđene u ovoj Uredbi i namijenjen je za upotrebu u osjetljivom ili kritičnom okruženju, kao što su proizvodi namijenjeni za upotrebu ključnih subjekata iz članka 3. stavka 1. Direktive (EU) 2022/2555, možda će biti potrebna najviša razina jamstva.

(48)

Kako bi se u Uniji osigurala zajednička odgovarajuća kibernetička sigurnosna zaštita proizvoda s digitalnim elementima koji imaju osnovnu funkcionalnost kategorije kritičnih proizvoda s digitalnim elementima utvrđene u ovoj Uredbi, Komisiju bi također trebalo ovlastiti za donošenje delegiranih akata radi izmjene ove Uredbe dodavanjem ili povlačenjem kategorija kritičnih proizvoda s digitalnim elementima za koje bi se od proizvođača moglo zahtijevati da ishode europski kibernetički sigurnosni certifikat u okviru europskog programa kibernetičke sigurnosne certifikacije na temelju Uredbe (EU) 2019/881 radi dokazivanja sukladnosti s ovom Uredbom. Tim se kategorijama može dodati nova kategorija kritičnih proizvoda s digitalnim elementima ako ključni subjekti kako su navedeni u članku 3. stavku 1. Direktive (EU) 2022/2555 kritično ovise o tim proizvodima ili, ako su pogođeni incidentima ili sadržavaju iskorištene ranjivosti, to bi moglo dovesti do poremećaja u ključnim lancima opskrbe. Pri ocjenjivanju potrebe za dodavanjem ili povlačenjem kategorija kritičnih proizvoda s digitalnim elementima delegiranim aktom Komisija bi trebala moći uzeti u obzir jesu li države članice na nacionalnoj razini utvrdile proizvode s digitalnim elementima koji imaju kritičnu ulogu za otpornost ključnih subjekata kako su navedeni u članku 3. stavku 1. Direktive (EU) 2022/2555 i koji se sve više suočavaju s kibernetičkim napadima u lancu opskrbe, s mogućim ozbiljnim negativnim učincima. Nadalje, Komisija bi trebala moći uzeti u obzir ishod koordinirane procjene sigurnosnog rizika ključnih lanaca opskrbe na razini Unije provedene u skladu s člankom 22. Direktive (EU) 2022/2555.

(49)

Komisija bi pri pripremi mjera za provedbu ove Uredbe trebala osigurati strukturirano i redovito savjetovanje sa širokim krugom relevantnih dionika. To bi posebno trebao biti slučaj kada Komisija ocjenjuje potrebu za mogućim ažuriranjima popisa kategorija važnih ili kritičnih proizvoda s digitalnim elementima, pri čemu bi se trebalo savjetovati s relevantnim proizvođačima i uzeti u obzir njihova stajališta kako bi se analizirali kibernetički sigurnosni rizici te ravnoteža troškova i koristi određivanja takvih kategorija proizvoda kao važnih ili kritičnih.

(50)

Ovom se Uredbom ciljano odgovara na kibernetičke sigurnosne rizike. Međutim, proizvodi s digitalnim elementima mogli bi predstavljati druge sigurnosne rizike koji nisu uvijek povezani s kibernetičkom sigurnošću, ali mogu biti posljedica povrede sigurnosti. Takvi bi rizici i dalje trebali biti uređeni relevantnim zakonodavstvom Unije o usklađivanju koje nije ova Uredba. Ako drugo zakonodavstvo Unije o usklađivanju koje nije ova Uredba nije primjenjivo, oni bi trebali podlijegati Uredbi (EU) 2023/988 Europskog parlamenta i Vijeća (21). Stoga, s obzirom na ciljanu prirodu ove Uredbe, kao odstupanje od članka 2. stavka 1. trećeg podstavka točke (b) Uredbe (EU) 2023/988, poglavlje III., odjeljak 1., poglavlja V. i VII., i poglavlja od IX. do XI. Uredbe (EU) 2023/988 trebali bi se primjenjivati na proizvode s digitalnim elementima u pogledu sigurnosnih rizika koji nisu obuhvaćeni ovom Uredbom ako ti proizvodi ne podliježu posebnim zahtjevima utvrđenima u zakonodavstvu Unije o usklađivanju koje nije ova Uredba u smislu članka 3. točke 27. Uredbe (EU) 2023/988.

(51)

Proizvodi s digitalnim elementima koji su klasificirani kao visokorizični UI sustavi u skladu s člankom 6. Uredbe (EU) 2024/1689 Europskog parlamenta i Vijeća (22) koji su obuhvaćeni područjem primjene ove Uredbe trebali bi biti u skladu s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi. Ako ti visokorizični UI sustavi ispunjavaju bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u ovoj Uredbi, trebalo bi smatrati da su u skladu sa zahtjevima za kibernetičku sigurnost utvrđenima u članku 15. Uredbe (EU) 2024/1689 u mjeri u kojoj su ti zahtjevi obuhvaćeni EU izjavom o sukladnosti, ili njezinim dijelovima, izdanom na temelju ove Uredbe. U tu svrhu, procjenom kibernetičkih sigurnosnih rizika povezanih s proizvodom s digitalnim elementima koji je klasificiran kao visokorizični UI sustav u skladu s Uredbom (EU) 2024/1689 koju treba uzeti u obzir u fazama planiranja, projektiranja, razvoja, proizvodnje, isporuke i održavanja takvog proizvoda, kako se zahtijeva ovom Uredbom, trebalo bi uzeti u obzir rizike za kibernetičku otpornost UI sustava u pogledu pokušaja neovlaštenih trećih strana da izmijene njegovu upotrebu, ponašanje ili performanse, uključujući ranjivosti specifične za UI kao što su trovanje podacima ili neprijateljski napadi, kao i, prema potrebi, rizike za temeljna prava, u skladu s Uredbom (EU) 2024/1689. Kad je riječ o postupcima ocjenjivanja sukladnosti koji se odnose na bitne zahtjeve u pogledu kibernetičke sigurnosti za proizvod s digitalnim elementima koji je obuhvaćen područjem primjene ove Uredbe i koji je klasificiran kao visokorizični UI sustav, umjesto relevantnih odredbi ove Uredbe u pravilu bi se trebao primjenjivati članak 43. Uredbe (EU) 2024/1689. Međutim, to pravilo ne bi trebalo dovesti do smanjenja potrebne razine jamstva za važne ili kritične proizvode s digitalnim elementima iz ove Uredbe. Stoga bi, odstupajući od tog pravila, visokorizični UI sustavi koji su obuhvaćeni područjem primjene Uredbe (EU) 2024/1689 i također su važni ili kritični proizvodi s digitalnim elementima iz ove Uredbe te na koje se primjenjuje postupak ocjenjivanja sukladnosti na temelju unutarnje kontrole iz Priloga VI. Uredbi (EU) 2024/1689 trebali podlijegati postupcima ocjenjivanja sukladnosti predviđenima u ovoj Uredbi u mjeri u kojoj se to odnosi na bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u ovoj Uredbi. U takvom bi se slučaju za sve ostale aspekte obuhvaćene Uredbom (EU) 2024/1689 trebale primjenjivati relevantne odredbe o ocjenjivanju sukladnosti na temelju unutarnje kontrole utvrđene u Prilogu VI. toj uredbi.

(52)

Kako bi se poboljšala sigurnost proizvoda s digitalnim elementima koji se stavljaju na unutarnje tržište, potrebno je utvrditi bitne zahtjeve u pogledu kibernetičke sigurnosti primjenjive na takve proizvode. Tim bitnim zahtjevima u pogledu kibernetičke sigurnosti ne bi se trebale dovoditi u pitanje koordinirane procjene sigurnosnih rizika ključnih lanaca opskrbe na razini Unije iz članka 22. Direktive (EU) 2022/2555 u kojima se uzimaju u obzir tehnički i, prema potrebi, netehnički čimbenici rizika, kao što je nedopušteni utjecaj treće zemlje na dobavljače. Nadalje, njima se ne bi trebale dovoditi u pitanje ovlasti država članica da utvrde dodatne zahtjeve kojima se uzimaju u obzir netehnički čimbenici za potrebe osiguravanja visoke razine otpornosti, uključujući one definirane u Preporuci Komisije (EU) 2019/534 (23), u koordiniranoj procjeni rizika za kibernetičku sigurnost 5G mreža u EU-u i u paketu instrumenata EU-a za kibernetičku sigurnost 5G mreža koji je dogovorila skupina za suradnju osnovana u skladu s člankom 14. Direktive (EU) 2022/2555.

(53)

Proizvođači proizvoda obuhvaćenih područjem primjene Uredbe (EU) 2023/1230 Europskog parlamenta i Vijeća (24) koji su i proizvodi s digitalnim elementima kako su definirani u ovoj Uredbi trebali bi biti u skladu i s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi i s bitnim zdravstvenim i sigurnosnim zahtjevima utvrđenima u Uredbi (EU) 2023/1230. Bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u ovoj Uredbi i određeni bitni zahtjevi utvrđeni u Uredbi (EU) 2023/1230 mogli bi se odnositi na slične kibernetičke sigurnosne rizike. Stoga bi se usklađenošću s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi mogla olakšati usklađenost s bitnim zahtjevima koji obuhvaćaju i određene kibernetičke sigurnosne rizike kako su utvrđeni u Uredbi (EU) 2023/1230, a posebno onima koji se odnose na zaštitu od zlouporabe te sigurnost i pouzdanost kontrolnih sustava iz odjeljaka 1.1.9. i 1.2.1. Priloga III. toj uredbi. Takve sinergije proizvođač mora dokazati, primjerice primjenom, ako su dostupne, usklađenih normi ili drugih tehničkih specifikacija koje obuhvaćaju relevantne bitne zahtjeve u pogledu kibernetičke sigurnosti nakon procjene rizika kojom su obuhvaćeni ti kibernetički sigurnosni rizici. Proizvođač bi također trebao slijediti primjenjive postupke ocjenjivanja sukladnosti utvrđene u ovoj Uredbi i u Uredbi (EU) 2023/1230. Komisija i europske organizacije za normizaciju trebale bi u pripremnom radu na potpori provedbi ove Uredbe i Uredbe (EU) 2023/1230 i povezanih postupaka normizacije promicati dosljednost u načinu na koji treba procjenjivati kibernetičke sigurnosne rizike i načinu na koji ti rizici trebaju biti obuhvaćeni usklađenim normama u pogledu relevantnih bitnih zahtjeva. Posebno, Komisija i europske organizacije za normizaciju trebale bi uzeti u obzir ovu Uredbu pri pripremi i razvoju usklađenih normi kako bi se olakšala provedba Uredbe (EU) 2023/1230, posebno u vezi s kibernetičkim sigurnosnim aspektima u pogledu zaštite od zlouporabe te sigurnosti i pouzdanosti kontrolnih sustava iz odjeljaka 1.1.9. i 1.2.1. Priloga III. toj uredbi. Komisija bi trebala pružiti smjernice za potporu proizvođačima koji podliježu ovoj Uredbi i koji također podliježu Uredbi (EU) 2023/1230, posebno kako bi se olakšalo dokazivanje usklađenosti s relevantnim bitnim zahtjevima utvrđenima u ovoj Uredbi i u Uredbi (EU) 2023/1230.

(54)

Kako bi se osigurala sigurnost proizvoda s digitalnim elementima i u trenutku njihova stavljanja na tržište i tijekom očekivanog vremena upotrebe proizvoda s digitalnim elementima, potrebno je utvrditi bitne zahtjeve u pogledu kibernetičke sigurnosti za postupanje s ranjivostima i bitne zahtjeve u pogledu kibernetičke sigurnosti koji se odnose na svojstva proizvoda s digitalnim elementima. Iako bi proizvođači trebali postupati u skladu sa svim bitnim zahtjevima u pogledu kibernetičke sigurnosti u vezi s postupanjem s ranjivostima tijekom razdoblja potpore, trebali bi odrediti koji su drugi bitni zahtjevi u pogledu svojstava proizvoda relevantni za predmetnu vrstu proizvoda s digitalnim elementima. U tu bi svrhu proizvođači trebali procijeniti kibernetičke sigurnosne rizike povezane s proizvodom s digitalnim elementima kako bi utvrditi relevantne rizike i relevantne bitne zahtjeve u pogledu kibernetičke sigurnosti kako bi stavili na raspolaganje svoje proizvode s digitalnim elementima bez poznatih iskoristivih ranjivosti koje bi mogle utjecati na sigurnost tih proizvoda te kako bi na odgovarajući način primijenili odgovarajuće usklađene norme, zajedničke specifikacije ili europske ili međunarodne norme.

(55)

Ako određeni bitni zahtjevi u pogledu kibernetičke sigurnosti nisu primjenjivi na proizvod s digitalnim elementima, proizvođač bi trebao uključiti jasno obrazloženje u procjenu kibernetičkog sigurnosnog rizika uključenu u tehničku dokumentaciju. To bi mogao biti slučaj kad bitni zahtjev u pogledu kibernetičke sigurnosti nije u skladu s prirodom proizvoda s digitalnim elementima. Na primjer, namjena proizvoda s digitalnim elementima može zahtijevati da proizvođač poštuje široko priznate norme interoperabilnosti čak i ako se njegove sigurnosne značajke više ne smatraju najsuvremenijima. Slično tome, drugim se pravom Unije od proizvođača zahtijeva da primjenjuju posebne zahtjeve interoperabilnosti. Ako bitni zahtjev u pogledu kibernetičke sigurnosti nije primjenjiv na proizvod s digitalnim elementima, ali je proizvođač utvrdio kibernetičke sigurnosne rizike u odnosu na taj bitni zahtjev u pogledu kibernetičke sigurnosti, trebao bi poduzeti mjere za uklanjanje tih rizika drugim sredstvima, primjerice ograničavanjem namjene proizvoda na pouzdana okruženja ili obavješćivanjem korisnika o tim rizicima.

(56)

Jedna od najvažnijih mjera koje korisnici trebaju poduzeti kako bi zaštitili svoje proizvode s digitalnim elementima od kibernetičkih napada jest ugradnja najnovijih dostupnih sigurnosnih ažuriranja što je prije moguće. Proizvođači bi stoga trebali projektirati svoje proizvode i uspostaviti procese kojima se osigurava da proizvodi s digitalnim elementima uključuju funkcije koje omogućuju automatsko obavješćivanje, distribuciju, preuzimanje i ugradnju sigurnosnih ažuriranja, posebno u slučaju potrošačkih proizvoda. Također bi trebali pružiti mogućnost odobravanja preuzimanja i ugradnje sigurnosnih ažuriranja kao završnog koraka. Korisnici bi trebali zadržati mogućnost deaktivacije automatskih ažuriranja jasnim i jednostavnim mehanizmom koji je podržan jasnim uputama o tome kako se korisnici mogu isključiti. Zahtjevi koji se odnose na automatska ažuriranja kako su utvrđeni u prilogu ovoj Uredbi nisu primjenjivi na proizvode s digitalnim elementima koji se prvenstveno namjeravaju integrirati kao komponente u druge proizvode. Ne primjenjuju se ni na proizvode s digitalnim elementima za koje korisnici ne bi razumno očekivali automatska ažuriranja, uključujući proizvode s digitalnim elementima namijenjene za upotrebu u profesionalnim mrežama IKT-a, a posebno u kritičnim i industrijskim okruženjima u kojima bi automatsko ažuriranje moglo uzrokovati ometanje rada. Bez obzira na to je li proizvod s digitalnim elementima projektiran za primanje automatskih ažuriranja ili nije, njegov bi proizvođač trebao obavijestiti korisnike o ranjivostima i bez odgode staviti na raspolaganje sigurnosna ažuriranja. Ako proizvod s digitalnim elementima ima korisničko sučelje ili slično tehničko sredstvo koje omogućuje izravnu interakciju s korisnicima, proizvođač bi trebao upotrebljavati takve značajke kako bi obavijestio korisnike da je razdoblje potpore za njihov proizvod s digitalnim elementima završilo. Obavijesti bi trebale biti ograničene na ono što je potrebno kako bi se osigurala djelotvorno primanje tih informacija i ne bi trebale negativno utjecati na iskustvo korištenja proizvoda s digitalnim elementima.

(57)

Kako bi se poboljšala transparentnost procesa postupanja s ranjivostima i osiguralo da se od korisnika ne zahtijeva ugradnja novih ažuriranja funkcionalnosti isključivo u svrhu primanja najnovijih sigurnosnih ažuriranja, proizvođači bi trebali osigurati, ako je to tehnički izvedivo, da se nova sigurnosna ažuriranja pružaju odvojeno od ažuriranja funkcionalnosti.

(58)

U Zajedničkoj komunikaciji Komisije i Visokog predstavnika Unije za vanjske poslove i sigurnosnu politiku od 20. lipnja 2023. naslovljenoj „Europska strategija gospodarske sigurnosti” navodi se da Unija treba maksimalno povećati koristi svoje gospodarske otvorenosti uz istodobno smanjenje rizika od gospodarske ovisnosti o visokorizičnim dobavljačima putem zajedničkog strateškog okvira za gospodarsku sigurnost Unije. Ovisnosti o visokorizičnim dobavljačima proizvoda s digitalnim elementima mogu predstavljati strateški rizik koji treba rješavati na razini Unije, posebno ako su proizvodi s digitalnim elementima namijenjeni upotrebi od strane ključnih subjekata kako su navedeni u članku 3. stavku 1. Direktive (EU) 2022/2555. Takvi rizici mogu biti povezani, ali ne moraju biti ograničeni na nadležnost koja se primjenjuje na proizvođača, obilježja njegova korporativnog vlasništva i veze kontrole s vladom treće zemlje u kojoj ima poslovni nastan, posebno ako je treća zemlja uključena u gospodarsku špijunažu ili neodgovorno ponašanje države u kibernetičkom prostoru, a njezino zakonodavstvo dopušta proizvoljni pristup bilo kojoj vrsti operacija ili podataka društva, uključujući komercijalno osjetljive podatke, i može nametnuti obveze u obavještajne svrhe bez demokratskih provjera i ravnoteže, mehanizama nadzora, pravičnog postupka ili prava na žalbu neovisnom sudu. Pri utvrđivanju je li kibernetički sigurnosni rizik znatan u smislu ove Uredbe Komisija i tijela za nadzor tržišta, u skladu sa svojim odgovornostima utvrđenima u ovoj Uredbi, trebala bi razmotriti i netehničke čimbenike rizika, posebno one utvrđene na temelju koordiniranih procjena sigurnosnih rizika ključnih lanaca opskrbe na razini Unije provedenih u skladu s člankom 22. Direktive (EU) 2022/2555.

(59)

Radi osiguravanja sigurnosti proizvoda s digitalnim elementima nakon njihova stavljanja na tržište, proizvođači bi trebali odrediti razdoblje potpore, koje bi trebalo odražavati očekivano vrijeme upotrebe proizvoda s digitalnim elementima. Pri određivanju razdoblja potpore proizvođač bi posebno trebao uzeti u obzir razumna očekivanja korisnika, prirodu proizvoda i relevantno pravo Unije kojim se utvrđuje životni vijek proizvodâ s digitalnim elementima. Proizvođači bi također trebali moći uzeti u obzir druge relevantne čimbenike. Kriteriji bi se trebali primjenjivati na način kojim se osigurava proporcionalnost pri određivanju razdoblja potpore. Proizvođač bi tijelima za nadzor tržišta na zahtjev trebao dostaviti informacije koje su uzete u obzir pri utvrđivanju razdoblja potpore za proizvod s digitalnim elementima.

(60)

Razdoblje potpore za koje proizvođač osigurava djelotvorno postupanje s ranjivostima trebalo bi biti najmanje pet godina, osim ako je životni vijek proizvoda s digitalnim elementima kraći od pet godina u kojem bi slučaju proizvođač trebao osigurati postupanje s ranjivostima tijekom tog životnog vijeka. Ako se razumno očekuje da će se proizvod s digitalnim elementima upotrebljavati dulje od pet godina, kao što je često slučaj s hardverskim komponentama kao što su matične ploče ili mikroprocesori, mrežnim uređajima kao što su ruteri, modemi ili preklopnici, kao i sa softverom, kao što su operativni sustavi ili alati za uređivanje videozapisa, proizvođači bi u skladu s time trebali osigurati dulja razdoblja potpore. Posebno, proizvodi s digitalnim elementima namijenjeni upotrebi u industrijskim okruženjima, kao što su industrijski kontrolni sustavi, često se upotrebljavaju tijekom znatno duljih razdoblja. Proizvođač bi trebao moći odrediti razdoblje potpore kraće od pet godina samo ako je to opravdano prirodom predmetnog proizvoda s digitalnim elementima i ako se očekuje da će se taj proizvod upotrebljavati manje od pet godina, a u tom bi slučaju razdoblje potpore trebalo odgovarati očekivanom vremenu upotrebe. Na primjer, životni vijek aplikacije za praćenje kontakata namijenjene upotrebi tijekom pandemije mogao bi biti ograničen na trajanje pandemije. Osim toga, neke softverske aplikacije mogu po svojoj prirodi biti stavljene na raspolaganje samo na temelju modela pretplate, posebno ako aplikacija postane nedostupna korisniku i stoga se više ne upotrebljava nakon isteka pretplate.

(61)

Kad razdoblja potpore za proizvode s digitalnim elementima istekne, proizvođači bi, kako bi se osiguralo da se ranjivostima može upravljati nakon isteka razdoblja potpore, trebali razmotriti stavljanje na raspolaganje izvornog koda takvih proizvoda s digitalnim elementima drugim poduzećima koja se obvežu nastaviti pružati usluge postupanja s ranjivostima ili javnosti. Ako proizvođači stave na raspolaganje izvorni kod drugim poduzećima, trebali bi moći zaštititi vlasništvo nad proizvodom s digitalnim elementima i spriječiti širenje izvornog koda javnosti, na primjer putem ugovornih aranžmana.

(62)

Kako bi se osiguralo da proizvođači diljem Unije odrede slična razdoblja potpore za usporedive proizvode s digitalnim elementima, skupina za ADCO trebala bi objaviti statističke podatke o prosječnim razdobljima potpore koja su proizvođači odredili za kategorije proizvoda s digitalnim elementima i izdati smjernice u kojima se navode odgovarajuća razdoblja potpore za takve kategorije. Osim toga, kako bi se osigurao usklađen pristup na cijelom unutarnjem tržištu, Komisija bi trebala moći donijeti delegirane akte kojima se utvrđuju minimalna razdoblja potpore za određene kategorije proizvoda ako podaci koje su dostavila tijela za nadzor tržišta upućuju na to da razdoblja potpore koja su utvrdili proizvođači sustavno nisu u skladu s kriterijima za određivanje razdoblja potpore utvrđenima u ovoj Uredbi ili da proizvođači u različitim državama članicama neopravdano određuju različita razdoblja potpore.

(63)

Proizvođači bi trebali uspostaviti jedinstvenu kontaktnu točku koja korisnicima omogućuje laku komunikaciju s njima, među ostalim u svrhu izvješćivanja i primanja informacija o ranjivostima proizvoda s digitalnim elementom. Trebali bi osigurati da jedinstvena kontaktna točka bude lako dostupna korisnicima i jasno naznačiti njezinu dostupnost te ažurirati te informacije. Ako proizvođači odluče ponuditi automatizirane alate, npr. okvire za razgovor, trebali bi ponuditi i telefonski broj ili druga digitalna sredstva za kontakt, kao što su adresa e-pošte ili obrazac za kontakt. Jedinstvena kontaktna točka ne bi se trebala oslanjati isključivo na automatizirane alate.

(64)

Proizvođači bi svoje proizvode s digitalnim elementima trebali staviti na raspolaganje na tržištu sa zadanom sigurnom konfiguracijom i korisnicima besplatno pružati sigurnosna ažuriranja. Proizvođači bi trebali moći odstupiti od bitnih zahtjeva u pogledu kibernetičke sigurnosti samo u odnosu na prilagođene proizvode koji su ugrađeni u određenu svrhu za određenog poslovnog korisnika i ako su i proizvođač i korisnik izričito pristali na drukčiji skup ugovornih uvjeta.

(65)

Proizvođači bi putem jedinstvene platforme za izvješćivanje trebali istodobno obavijestiti tim za odgovor na računalne sigurnosne incidente (CSIRT) koji je imenovan koordinatorom i ENISA-u o aktivno iskorištenim ranjivostima sadržanima u proizvodima s digitalnim elementima, kao i o značajnim incidentima koji utječu na sigurnost tih proizvoda. Obavijesti bi se trebale dostavljati putem elektroničke krajnje točke za obavješćivanje CSIRT-a koji je imenovan koordinatorom i trebale bi biti istodobno dostupne ENISA-i.

(66)

Proizvođači bi trebali obavijestiti o aktivno iskorištenim ranjivostima kako bi osigurali da CSIRT-ovi imenovani koordinatorima i ENISA imaju odgovarajući pregled takvih ranjivosti i da dobivaju informacije potrebne za ispunjavanje svojih zadaća kako su utvrđene u Direktivi (EU) 2022/2555 i povećanje ukupne razine kibernetičke sigurnosti ključnih i važnih subjekata kako su navedeni u članku 3. te direktive te kako bi se osiguralo djelotvorno funkcioniranje tijelâ za nadzor tržišta. S obzirom na to da se većina proizvoda s digitalnim elementima stavlja na cijelo unutarnje tržište, svaka iskorištena ranjivost proizvoda s digitalnim elementima trebala bi se smatrati prijetnjom funkcioniranju unutarnjeg tržišta. ENISA bi, u dogovoru s proizvođačem, trebala objaviti popravljene ranjivosti u europskoj bazi podataka o ranjivostima koja je uspostavljena u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555. Europska baza podataka o ranjivostima pomoći će proizvođačima u otkrivanju poznatih iskoristivih ranjivosti u njihovim proizvodima kako bi se osiguralo da se na raspolaganje na tržištu stavljaju sigurni proizvodi.

(67)

Proizvođači bi ujedno trebali obavijestiti CSIRT koji je imenovan koordinatorom i ENISA-u o svakom značajnom incidentu koji utječe na sigurnost proizvoda s digitalnim elementima. Kako bi se osiguralo da korisnici mogu brzo reagirati na značajne incidente koji utječu na sigurnost njihovih proizvoda s digitalnim elementima, proizvođači bi također trebali obavijestiti njihove korisnike o svakom takvom incidentu i, ako je primjenjivo, o svim korektivnim mjerama koje korisnici mogu poduzeti za ublažavanje posljedica incidenta, primjerice objavljivanjem relevantnih informacija na svojim internetskim stranicama ili, ako proizvođač može stupiti u kontakt s korisnicima i kibernetički sigurnosni rizici to opravdavaju, izravnim obraćanjem korisnicima.

(68)

Aktivno iskorištene ranjivosti odnose se na slučajeve u kojima proizvođač utvrdi da je povreda sigurnosti koja utječe na njegove korisnike ili bilo koju drugu fizičku ili pravnu osobu posljedica toga što je zlonamjerni akter iskoristio manu u jednom od proizvoda s digitalnim elementima koje je proizvođač stavio na raspolaganje na tržištu. Primjeri takvih ranjivosti mogli bi biti slabosti u funkcijama identifikacije i autentifikacije proizvoda. Ranjivosti koje se otkrivaju bez zle namjere u svrhu ispitivanja, istrage, ispravljanja ili otkrivanja u dobroj vjeri radi promicanja sigurnosti ili zaštite vlasnika sustava i njegovih korisnika ne bi trebale podlijegati obveznom obavješćivanju. Značajni incidenti koji utječu na sigurnost proizvoda s digitalnim elementima odnose se, s druge strane, na situacije u kojima kibernetički incident utječe na procese razvoja, proizvodnje ili održavanja proizvođača tako da bi mogao dovesti do povećanog kibernetičkog sigurnosnog rizika za korisnike ili druge osobe. Takav značajan incident mogao bi uključivati situaciju u kojoj je napadač uspješno ubacio zlonamjerni kod u kanal za objavljivanje putem kojeg proizvođač objavljuje sigurnosna ažuriranja korisnicima.

(69)

Kako bi se osiguralo da se obavijesti mogu brzo podijeliti sa svim relevantnim CSIRT-ovima koji su imenovani koordinatorima i kako bi se proizvođačima omogućilo podnošenje jedinstvene obavijesti u svakoj fazi postupka obavješćivanja, ENISA bi trebala uspostaviti jedinstvenu platformu za izvješćivanje s nacionalnim krajnjim točkama za elektroničko obavješćivanje. ENISA bi trebala upravljati svakodnevnim radom jedinstvene platforme za izvješćivanje i održavati je. CSIRT-ovi koji su imenovani koordinatorima trebali bi obavijestiti svoja tijela za nadzor tržišta o prijavljenim ranjivostima ili incidentima. Jedinstvena platforma za izvješćivanje trebala bi biti osmišljena tako da se njome osigurava povjerljivost obavijesti, posebno u pogledu ranjivosti za koje još nije dostupno sigurnosno ažuriranje. Osim toga, ENISA bi trebala uspostaviti postupke za sigurno i povjerljivo postupanje s informacijama. Na temelju informacija koje prikupi ENISA bi trebala izraditi dvogodišnje tehničko izvješće o novim trendovima u području kibernetičkih sigurnosnih rizika proizvoda s digitalnim elementima i podnijeti ga skupini za suradnju uspostavljenoj u skladu s člankom 14. Direktive (EU) 2022/2555.

(70)

U iznimnim okolnostima, a posebno na zahtjev proizvođača, CSIRT koji je imenovan koordinatorom koji je prvotno primio obavijest trebao bi moći odlučiti odgoditi njezino dijeljenje drugim relevantnim CSIRT-ovima koji su imenovani koordinatorima putem jedinstvene platforme za izvješćivanje ako to može biti opravdano razlozima povezanima s kibernetičkom sigurnošću i na razdoblje koje je prijeko potrebno. CSIRT koji je imenovan koordinatorom trebao bi odmah obavijestiti ENISA-u o odluci o odgodi dijeljenja i razlozima za nju, kao i o tome kada namjerava nastaviti daljnje dijeljenje. Komisija bi delegiranim aktom trebala izraditi specifikacije o uvjetima pod kojima bi se razlozi povezani s kibernetičkom sigurnošću mogli primjenjivati te bi u pripremi nacrta delegiranog akta trebala surađivati s mrežom CSIRT-ova uspostavljenom u skladu s člankom 15. Direktive (EU) 2022/2555 i ENISA-om. Primjeri razloga povezanih s kibernetičkom sigurnošću uključuju kontinuirani postupak koordiniranog otkrivanja ranjivosti ili situacije u kojima se očekuje da će proizvođač uskoro osigurati mjeru ublažavanja, a kibernetički sigurnosni rizici od neposrednog širenja informacija putem jedinstvene platforme za izvješćivanje nadmašuju njegove koristi. Ako to zatraži CSIRT koji je imenovan koordinatorom, ENISA bi trebala biti u mogućnosti podržati taj CSIRT u primjeni razloga povezanih s kibernetičkom sigurnošću za odgodu širenja obavijesti, na temelju informacija koje je ENISA primila od tog CSIRT-a o odluci da uskrati obavijest zbog tih razloga povezanih s kibernetičkom sigurnošću. Nadalje, u posebno iznimnim okolnostima ENISA ne bi trebala istodobno primati sve pojedinosti obavijesti o aktivno iskorištenoj ranjivosti. To bi bio slučaj ako proizvođač u svojoj obavijesti označi da je zlonamjerni akter aktivno iskoristio prijavljenu ranjivost i da, prema dostupnim informacijama, nije iskorištena ni u jednoj državi članici koja nije država članica CSIRT-a koji je imenovan koordinatorom i kojemu je proizvođač prijavio ranjivost, ako bi svako neposredno daljnje dijeljenje prijavljene ranjivosti vjerojatno dovelo do dostave informacija čije bi otkrivanje bilo u suprotnosti s ključnim interesima te države članice ili ako prijavljena ranjivost predstavlja neposredan visok kibernetički sigurnosni rizik koji proizlazi iz daljnjeg dijeljenja. U takvim slučajevima ENISA će dobiti samo istodobni pristup informacijama o tome da je proizvođač podnio obavijest, općim informacijama o predmetnom proizvodu s digitalnim elementima, informacijama o općoj prirodi iskorištavanja i informacijama o činjenici da je proizvođač istaknuo te sigurnosne razloge te da je stoga uskraćen puni sadržaj obavijesti. Potpuna obavijest zatim bi se trebala staviti na raspolaganje ENISA-i i drugim relevantnim CSIRT-ovima koji su imenovani koordinatorima ako CSIRT koji je imenovan koordinatorom koji je prvotno primio obavijest utvrdi da ti sigurnosni razlozi, koji odražavaju posebno iznimne okolnosti utvrđene u ovoj Uredbi, više ne postoje. Ako na temelju dostupnih informacija ENISA smatra da postoji sistemski rizik koji utječe na sigurnost unutarnjeg tržišta, ENISA bi trebala preporučiti CSIRT-u primatelju da proslijedi potpunu obavijest drugim CSIRT-ovima koji su imenovani koordinatorima i samoj ENISA-i.

(71)

Kad proizvođači obavijeste o aktivno iskorištenoj ranjivosti ili značajnom incidentu koji utječu na sigurnost proizvoda s digitalnim elementima, trebali bi navesti koliko smatraju da su prijavljene informacije osjetljive. CSIRT koji je imenovan koordinatorom koji je prvotno primio obavijest trebao bi te informacije uzeti u obzir pri procjeni toga je li zbog obavijesti došlo do iznimnih okolnosti koje opravdavaju odgodu dijeljenja obavijesti drugim relevantnim CSIRT-ovima koji su imenovani koordinatorima na temelju opravdanih razloga povezanih s kibernetičkom sigurnošću. Te bi informacije trebalo uzeti u obzir i pri procjeni toga je li obavijest o aktivno iskorištenoj ranjivosti dovela do posebno iznimnih okolnosti koje opravdavaju da potpuna obavijest nije istodobno stavljena na raspolaganje ENISA-i. Naposljetku, CSIRT-ovi koji su imenovani koordinatorima trebali bi moći uzeti u obzir te informacije pri utvrđivanju odgovarajućih mjera za ublažavanje rizika koji proizlaze iz takvih ranjivosti i incidenata.

(72)

Kako bi se pojednostavnilo izvješćivanje o informacijama koje se zahtijevaju na temelju ove Uredbe, uzimajući u obzir druge dodatne zahtjeve u pogledu izvješćivanja utvrđene u pravu Unije, kao što su Uredba (EU) 2016/679, Uredba (EU) 2022/2554 Europskog parlamenta i Vijeća (25), Direktiva 2002/58/EZ Europskog parlamenta i Vijeća (26) i Direktiva (EU) 2022/2555, te kako bi se smanjilo administrativno opterećenje za subjekte, države članice potiče se da razmotre uvođenje jedinstvenih ulaznih točaka na nacionalnoj razini za takve zahtjeve u pogledu izvješćivanja. Upotreba takvih nacionalnih jedinstvenih ulaznih točaka za izvješćivanja o sigurnosnim incidentima u skladu s Uredbom (EU) 2016/679 i Direktivom 2002/58/EZ ne bi trebala utjecati na primjenu odredaba Uredbe (EU) 2016/679 i Direktive 2002/58/EZ, posebno onih koje se odnose na neovisnost tijela navedenih u njima. Pri uspostavi jedinstvene platforme za izvješćivanje iz ove Uredbe ENISA bi trebala uzeti u obzir mogućnost da se nacionalne krajnje točke za elektroničko obavješćivanje iz ove Uredbe integriraju u nacionalne jedinstvene ulazne točke koje mogu uključivati i druge obavijesti koje se zahtijevaju pravom Unije.

(73)

Pri uspostavi jedinstvene platforme za izvješćivanje iz ove Uredbe i kako bi iskoristila prethodno iskustvo, ENISA bi se trebala savjetovati s drugim institucijama ili agencijama Unije koje upravljaju platformama ili bazama podataka koje podliježu strogim sigurnosnim zahtjevima, kao što je Agencija Europske unije za operativno upravljanje opsežnim informacijskim sustavima u području slobode, sigurnosti i pravde (eu-LISA). ENISA bi također trebala analizirati moguće komplementarnosti s europskom bazom podataka o ranjivostima koja je uspostavljena u skladu s člankom 12. stavkom 2. Direktive (EU) 2022/2555.

(74)

Proizvođači i druge fizičke i pravne osobe trebali bi moći dobrovoljno obavijestiti CSIRT koji je imenovan koordinatorom ili ENISA-u o svakoj ranjivosti proizvoda s digitalnim elementima, kibernetičkim prijetnjama koje bi mogle utjecati na profil rizičnosti proizvoda s digitalnim elementima, o svakom incidentu koji utječe na sigurnost proizvoda s digitalnim elementima, kao i o izbjegnutim incidentima koji su mogli dovesti do takvog incidenta.

(75)

U skladu s nacionalnim pravom države članice trebale bi, u mjeri u kojoj je to moguće, nastojati odgovoriti na izazove s kojima se suočavaju oni koji istražuju ranjivosti, uključujući njihovu moguću izloženost kaznenoj odgovornosti. S obzirom na to da bi fizičke i pravne osobe koje istražuju ranjivosti u nekim državama članicama mogle biti izložene kaznenoj i građanskopravnoj odgovornosti, države članice potiču se da donesu smjernice u pogledu neprovođenja kaznenog progona istraživača u području informacijske sigurnosti i izuzeća od građanskopravne odgovornosti za njihove aktivnosti.

(76)

Proizvođači proizvoda s digitalnim elementima trebali bi uspostaviti politike koordiniranog otkrivanja ranjivosti kako bi pojedincima ili subjektima olakšali njihovo prijavljivanje, bilo izravno proizvođaču ili neizravno, i kada se to traži anonimno, putem CSIRT-ova koji su određeni kao koordinatori za potrebe koordiniranog otkrivanja ranjivosti u skladu s člankom 12. stavkom 1. Direktive (EU) 2022/2555. U politici koordiniranog otkrivanja ranjivosti proizvođačâ trebalo bi utvrditi strukturirani proces prijavljivanja ranjivosti proizvođaču na način koji omogućuje proizvođaču njihovo dijagnosticiranje i otklanjanje prije otkrivanja detaljnih informacija o ranjivostima trećim stranama ili javnosti. Štoviše, proizvođači bi trebali razmotriti i objavljivanje svojih sigurnosnih politika u strojno čitljivom formatu. S obzirom na činjenicu da se informacije o iskoristivim ranjivostima proizvoda s digitalnim elementima koji se nalaze u širokoj upotrebi mogu skupo prodati na crnom tržištu, proizvođači takvih proizvoda trebali bi moći upotrebljavati, u okviru svojih politika koordiniranog otkrivanja ranjivosti, programe za poticanje pojedinaca ili subjekata na prijavljivanje ranjivosti osiguravanjem priznanja i naknada za njihov trud. To se odnosi na takozvane „programe nagrađivanja pronalaska pogrešaka”.

(77)

Kako bi se olakšala analiza ranjivosti, proizvođači bi trebali utvrditi i dokumentirati komponente proizvoda s digitalnim elementima, među ostalim sastavljanjem popisa softverskog materijala. Popis softverskog materijala može onima koji proizvode, kupuju i rabe softver pružiti informacije koje poboljšavaju njihovo razumijevanje lanca opskrbe, što donosi višestruke koristi, a posebno pomaže proizvođačima i korisnicima da prate poznate nove ranjivosti i kibernetičke sigurnosne rizike. Osobito je važno da proizvođači osiguraju da njihovi proizvodi s digitalnim elementima ne sadržavaju ranjive komponente koje su razvile treće strane. Proizvođači ne bi trebali biti obvezni objaviti popis softverskog materijala.

(78)

U okviru novih složenih poslovnih modela povezanih s internetskom prodajom poduzeće koje posluje na internetu može pružati niz usluga. Ovisno o prirodi usluga koje se pružaju u vezi s određenim proizvodom s digitalnim elementima, isti subjekt može biti pripadati u različite kategorije poslovnih modela ili gospodarskih subjekata. Ako subjekt pruža samo usluge internetskog posredovanja za određeni proizvod s digitalnim elementima i samo je pružatelj internetskog tržišta kako je definirano u članku 3. točki 14. Uredbe (EU) 2023/988, ne smatra se vrstom gospodarskog subjekta kako je definiran u ovoj Uredbi. Ako je isti subjekt pružatelj internetskog tržišta i također djeluje kao gospodarski subjekt kako je definiran u ovoj Uredbi za prodaju određenih proizvoda s digitalnim elementima trebao bi podlijegati obvezama utvrđenima u ovoj Uredbi za tu vrstu gospodarskog subjekta. Na primjer, ako pružatelj internetskog tržišta također distribuira proizvod s digitalnim elementima, onda bi se, kad je riječ o prodaji tog proizvoda, smatrao distributerom. Slično tome, ako predmetni subjekt prodaje proizvode s digitalnim elementima vlastite robne marke, smatrao bi se proizvođačem i stoga bi morao biti u skladu s primjenjivim zahtjevima za proizvođače. Osim toga, neki subjekti mogu se smatrati pružateljima usluga provođenja narudžbi kako su definirani u članku 3. točki 11. Uredbe (EU) 2019/1020 Europskog parlamenta i Vijeća (27) ako nude takve usluge. Takvi bi se slučajevi trebali procjenjivati pojedinačno. S obzirom na istaknutu ulogu koju internetska tržišta imaju u omogućavanju elektroničke trgovine, trebala bi nastojati surađivati s tijelima za nadzor tržišta država članica kako bi pomogla osigurati da su proizvodi s digitalnim elementima kupljeni putem internetskih tržišta u skladu sa zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi.

(79)

Kako bi se olakšalo ocjenjivanje sukladnosti sa zahtjevima utvrđenim u ovoj Uredbi, trebala bi postojati pretpostavka sukladnosti proizvoda s digitalnim elementima koji su sukladni s usklađenim normama kojima su bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u ovoj Uredbi preneseni u detaljne tehničke specifikacije i koje su donesene u skladu s Uredbom (EU) br. 1025/2012 Europskog parlamenta i Vijeća (28). Tom uredbom predviđen je postupak podnošenja prigovora na usklađene norme ako te norme ne udovoljavaju u potpunosti zahtjevima utvrđenima u ovoj Uredbi. Postupak normizacije trebao bi osigurati uravnoteženu zastupljenost interesa i djelotvorno sudjelovanje dionika civilnog društva, uključujući organizacije potrošača. Trebalo bi uzeti u obzir i međunarodne norme koje su u skladu s razinom kibernetičke sigurnosne zaštite koja se nastoji postići bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi kako bi se olakšali razvoj usklađenih normi i provedba ove Uredbe te kako bi se poduzećima, posebno mikropoduzećima te malim i srednjim poduzećima i onima koja posluju na globalnoj razini, olakšala usklađenost.

(80)

Pravovremeni razvoj usklađenih normi tijekom prijelaznog razdoblja za primjenu ove Uredbe i njihova dostupnost prije datuma početka primjene ove Uredbe bit će posebno važni za njezinu djelotvornu provedbu. To posebno vrijedi za važne proizvode s digitalnim elementima koji pripadaju u razred I. Dostupnost usklađenih normi omogućit će proizvođačima takvih proizvoda da provedu ocjenjivanje sukladnosti putem postupka unutarnje kontrole i stoga mogu izbjeći uska grla i kašnjenja u aktivnostima tijela za ocjenjivanje sukladnosti.

(81)

Uredbom (EU) 2019/881 uspostavljen je dobrovoljni europski okvir za kibernetičku sigurnosnu certifikaciju IKT proizvoda, IKT procesa i IKT usluga. Europski programi kibernetičke sigurnosne certifikacije pružaju zajednički okvir povjerenja za korisnike u upotrebi proizvoda s digitalnim elementima obuhvaćenih područjem primjene ove Uredbe. Ovom bi se Uredbom posljedično trebale stvoriti sinergije s Uredbom (EU) 2019/881. Kako bi se olakšalo ocjenjivanje sukladnosti sa zahtjevima utvrđenima u ovoj Uredbi, proizvodi s digitalnim elementima koji su certificirani ili za koje je izdana izjava o sukladnosti u okviru europskog programa kibernetičke sigurnosti u skladu s Uredbom (EU) 2019/881 i koji je Komisija utvrdila provedbenim aktom smatraju se usklađenima s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi u mjeri u kojoj europski kibernetički sigurnosni certifikat ili izjava o sukladnosti, ili njihovi dijelovi, obuhvaćaju te zahtjeve. U kontekstu ove Uredbe trebalo bi procijeniti postoji li potreba za novim europskim programima kibernetičke sigurnosne certifikacije za proizvode s digitalnim elementima, uključujući pri izradi tekućeg programa rada Unije u skladu s Uredbom (EU) 2019/881. Ako postoji potreba za novim programom koji obuhvaća proizvode s digitalnim elementima, među ostalim kako bi se olakšala usklađenost s ovom Uredbom, Komisija može zatražiti od ENISA-e da izradi prijedloge programa u skladu s člankom 48. Uredbe (EU) 2019/881. U okviru takvih budućih europskih programa kibernetičke sigurnosne certifikacije koji bi obuhvaćali proizvode s digitalnim elementima trebalo bi uzeti u obzir bitne zahtjeve u pogledu kibernetičke sigurnosti i postupke ocjenjivanja sukladnosti kako su utvrđeni u ovoj Uredbi i olakšati usklađenost s ovom Uredbom. Za europske programe kibernetičke sigurnosne certifikacije koji stupaju na snagu prije stupanja na snagu ove Uredbe možda će biti potrebne dodatne specifikacije o detaljnim aspektima primjene pretpostavke sukladnosti. Komisiju bi trebalo ovlastiti da delegiranim aktima odredi pod kojim se uvjetima europski programi kibernetičke sigurnosne certifikacije mogu upotrebljavati za dokazivanje sukladnosti s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi. Nadalje, kako bi se izbjeglo neopravdano administrativno opterećenje, proizvođači ne bi trebali imati obvezu ocjenjivanja sukladnosti koje provodi treća strana kako je predviđeno u ovoj Uredbi za odgovarajuće zahtjeve ako je u okviru takvih europskih programa kibernetičke sigurnosne certifikacije izdan europski kibernetički sigurnosni certifikat na razini koja je barem „znatna”.

(82)

Nakon stupanja na snagu Provedbene uredbe (EU) 2024/482 koja se odnosi na proizvode obuhvaćene područjem primjene ove Uredbe, kao što su hardverski sigurnosni moduli i mikroprocesori, Komisija bi trebala moći delegiranim aktom odrediti kako se EUCC-om predviđa pretpostavka sukladnosti s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi ili njezinim dijelovima. Nadalje, takvim delegiranim aktom može se odrediti na koji način certifikat izdan na temelju EUCC-a oslobađa proizvođače od obveze ocjenjivanja koje provodi treća strana kako se zahtijeva u skladu s ovom Uredbom za odgovarajuće zahtjeve.

(83)

Postojeći europski okvir za normizaciju koji se temelji na načelima novog pristupa iz Rezolucije Vijeća od 7. svibnja 1985. o novom pristupu tehničkom usklađivanju i normama te na Uredbi (EU) br. 1025/2012 predstavlja standardni okvir za izradu normi kojima se predviđa pretpostavka sukladnosti s relevantnim bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi. Europske norme trebale bi biti tržišno orijentirane, uzimati u obzir javni interes i ciljeve politika koji su jasno navedeni u zahtjevu Komisije upućenom jednoj ili više europskih organizacija za normizaciju da u zadanom roku izrade usklađene norme i trebale bi se temeljiti na konsenzusu. Međutim, ako ne postoje relevantna upućivanja na usklađene norme, Komisija bi trebala moći donijeti provedbene akte kojima se utvrđuju zajedničke specifikacije za bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u ovoj Uredbi, pod uvjetom da se time na odgovarajući način poštuju uloga i funkcije europskih organizacija za normizaciju, kao iznimno zamjensko rješenje kojim se olakšava obveza proizvođača da postupa u skladu s tim bitnim zahtjevima u pogledu kibernetičke sigurnosti, ako je postupak normizacije blokiran ili ako postoje kašnjenja u utvrđivanju odgovarajućih usklađenih normi. Ako je takvo kašnjenje posljedica tehničke složenosti predmetne norme, Komisija bi to trebala uzeti u obzir prije razmatranja utvrđivanja zajedničkih specifikacija.

(84)

Kako bi se zajedničke specifikacije koje obuhvaćaju bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u ovoj Uredbi utvrdile na najučinkovitiji način, Komisija bi u proces trebala uključiti relevantne dionike.

(85)

Razumno razdoblje znači, u odnosu na objavu upućivanja na usklađene norme u Službenom listu Europske unije u skladu s Uredbom (EU) br. 1025/2012, razdoblje tijekom kojeg se očekuje objava upućivanja na normu, njezina ispravka ili njezine izmjene u Službenom listu Europske unije i koje ne bi trebalo biti dulje od godine dana nakon roka za izradu europske norme utvrđenog u skladu s Uredbom (EU) br. 1025/2012.

(86)

Kako bi se olakšalo ocjenjivanje sukladnosti s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi, trebala bi postojati pretpostavka sukladnosti za proizvode s digitalnim elementima koji su sukladni sa zajedničkim specifikacijama koje je Komisija donijela u skladu s ovom Uredbom u svrhu navođenja detaljnih tehničkih specifikacija tih zahtjeva.

(87)

Primjenom usklađenih normi, zajedničkih specifikacija ili europskih programa kibernetičke sigurnosne certifikacije donesenih na temelju Uredbe (EU) 2019/881 kojima se predviđa pretpostavka sukladnosti u odnosu na bitne zahtjeve u pogledu kibernetičke sigurnosti primjenjive na proizvode s digitalnim elementima olakšat će se ocjenjivanje sukladnosti koje provode proizvođači. Ako proizvođač odluči ne primijeniti takva sredstva za određene zahtjeve, u svojoj tehničkoj dokumentaciji mora navesti kako se postiže usklađenost na neki drugi način. Nadalje, primjenom usklađenih normi, zajedničkih specifikacija ili europskih programa kibernetičke sigurnosne certifikacije donesenih na temelju Uredbe (EU) 2019/881 kojima se predviđa pretpostavka sukladnosti proizvođačâ tijelima za nadzor tržišta olakšala bi se provjera usklađenosti proizvoda s digitalnim elementima. Stoga se proizvođače proizvoda s digitalnim elementima potiče na primjenu takvih usklađenih normi, zajedničkih specifikacija ili europskih programa kibernetičke sigurnosne certifikacije.

(88)

Proizvođači bi trebali sastaviti EU izjavu o sukladnosti kako bi pružili informacije koje se zahtijevaju ovom Uredbom o sukladnosti proizvoda s digitalnim elementima s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi i, ako je primjenjivo, drugim relevantnim zakonodavstvom Unije o usklađivanju kojim je obuhvaćen taj proizvod s digitalnim elementima. Od proizvođača se može i drugim pravnim aktima Unije zahtijevati sastavljanje EU izjave o sukladnosti. Kako bi se osigurao djelotvoran pristup informacijama u svrhu nadzora tržišta, trebalo bi sastaviti jedinstvenu EU izjavu o sukladnosti koja se odnosi na usklađenost sa svim relevantnim pravnim aktima Unije. Kako bi se smanjilo administrativno opterećenje gospodarskih subjekata, trebalo bi omogućiti da se ta jedinstvena EU izjava o sukladnosti sastoji od dokumentacije sastavljene od relevantnih pojedinačnih izjava o sukladnosti.

(89)

Oznaka CE, koja označuje sukladnost proizvoda, vidljiva je posljedica cijelog procesa koji obuhvaća ocjenjivanje sukladnosti u širem smislu. Opća načela kojima se uređuje stavljanje oznake CE utvrđena su u Uredbi (EZ) br. 765/2008 Europskog parlamenta i Vijeća (29). Ovom Uredbom trebalo bi utvrditi pravila za stavljanje oznake CE na proizvode s digitalnim elementima. Oznaka CE trebala bi biti jedina oznaka kojom se jamči usklađenosti proizvoda s digitalnim elementima sa zahtjevima utvrđenima u ovoj Uredbi.

(90)

Kako bi se gospodarskim subjektima omogućilo da dokažu sukladnost s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi, a tijelima za nadzor tržišta da osiguraju da su proizvodi s digitalnim elementima koji su stavljeni na raspolaganje na tržištu usklađeni s tim zahtjevima, potrebno je utvrditi postupke ocjenjivanja sukladnosti. Odlukom br. 768/2008/EZ Europskog parlamenta i Vijeća (30) utvrđeni su moduli za postupke ocjenjivanja sukladnosti razmjerno razini uključenog rizika i razini sigurnosti koja se zahtijeva. Kako bi se postigla međusektorska usklađenost i izbjegle ad hoc varijante, postupci ocjenjivanja sukladnosti prikladni za provjeru sukladnosti proizvoda s digitalnim elementima s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi trebali bi se temeljiti na tim modulima. U postupcima ocjenjivanja sukladnosti trebalo bi ispitati i provjeriti kako zahtjeve u pogledu proizvoda tako i zahtjeve u pogledu procesa koji se odnose cijeli životni ciklus proizvoda s digitalnim elementima, uključujući planiranje, projektiranje, razvoj ili proizvodnju, ispitivanje i održavanje proizvoda s digitalnim elementima.

(91)

Ocjenjivanje sukladnosti proizvoda s digitalnim elementima koji u ovoj Uredbi nisu navedeni kao važni ili kritični proizvodi s digitalnim elementima može provoditi proizvođač na vlastitu odgovornost primjenom postupka unutarnje kontrole koji se temelji na modulu A iz Odluke br. 768/2008/EZ u skladu s ovom Uredbom. To se primjenjuje i na slučajeve u kojima proizvođač odluči da neće primjenjivati u cijelosti ili djelomično primjenjivu usklađenu normu, zajedničku specifikaciju ili europski program kibernetičke sigurnosne certifikacije. Proizvođač zadržava mogućnost odabira strožeg postupka ocjenjivanja sukladnosti koji uključuje treću stranu. U okviru postupka unutarnje kontrole za ocjenjivanje sukladnosti proizvođač osigurava i izjavljuje na vlastitu odgovornost da proizvod s digitalnim elementima i procesi proizvođača ispunjavaju primjenjive bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u ovoj Uredbi. Ako važan proizvod s digitalnim elementima pripada u I. razred, zahtijeva se dodatno jamstvo za dokazivanje sukladnosti s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima ovom Uredbom. Ako proizvođač želi provesti ocjenjivanje sukladnosti na vlastitu odgovornost (modul A), trebao bi primjenjivati usklađene norme, zajedničke specifikacije ili programe europske kibernetičke sigurnosne certifikacije donesene na temelju Uredbe (EU) 2019/881 koje je Komisija utvrdila provedbenim aktom. Ako proizvođač ne primjenjuje takve usklađene norme, zajedničke specifikacije ili europske programe kibernetičke sigurnosne certifikacije, trebao bi se podvrgnuti ocjenjivanju sukladnosti koje uključuje treću stranu (koje se temelji na modulima B i C ili modulu H). Uzimajući u obzir administrativno opterećenje proizvođača i to da kibernetička sigurnost ima važnu ulogu u fazi projektiranja i razvoja materijalnih i nematerijalnih proizvoda s digitalnim elementima, postupci ocjenjivanja sukladnosti koji se temelje na modulima B i C ili modulu H iz Odluke br. 768/2008/EZ odabrani su kao najprikladniji za ocjenjivanje usklađenosti važnih proizvoda s digitalnim elementima na proporcionalan i djelotvoran način. Proizvođač koji provodi ocjenjivanje sukladnosti treće strane može odabrati postupak koji najbolje odgovara njegovu procesu projektiranja i proizvodnje. S obzirom na još veći kibernetički sigurnosni rizik povezan s upotrebom važnih proizvoda s digitalnim elementima koji pripadaju u II. razred, ocjenjivanje sukladnosti uvijek bi trebalo uključivati treću stranu, čak i ako je proizvod u potpunosti ili djelomično usklađen s usklađenim normama, zajedničkim specifikacijama ili europskim programima kibernetičke sigurnosne certifikacije. Proizvođači važnih proizvoda s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda trebali bi moći slijediti postupak unutarnje kontrole na temelju modula A, pod uvjetom da tehničku dokumentaciju učine javno dostupnom.

(92)

Dok izrada materijalnih proizvoda s digitalnim elementima obično zahtijeva znatan trud proizvođača u fazama projektiranja, razvoja i proizvodnje, u izradi proizvoda s digitalnim elementima u obliku softvera najvažniji su projektiranje i razvoj, a faza proizvodnje ima manju ulogu. Međutim, mnogo puta softverske proizvode i dalje treba sastaviti, izraditi, upakirati, staviti na raspolaganje za preuzimanje ili kopirati na fizički medij prije stavljanja na tržište. Kad se za provjeru usklađenosti proizvoda s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u ovoj Uredbi u fazama projektiranja, razvoja i proizvodnje primjenjuju relevantni moduli ocjenjivanja sukladnosti, trebalo bi se smatrati da te aktivnosti predstavljaju proizvodnju.

(93)

Kad je riječ o mikropoduzećima i malim poduzećima, kako bi se osigurala proporcionalnost, primjereno je smanjiti administrativne troškove, a da se pritom ne utječe na razinu kibernetičke sigurnosne zaštite proizvoda s digitalnim elementima koji su obuhvaćeni područjem primjene ove Uredbe ili na ravnopravne uvjete među proizvođačima. Stoga je primjereno da Komisija utvrdi pojednostavnjeni obrazac tehničke dokumentacije usmjeren na potrebe mikropoduzeća i malih poduzeća. Pojednostavnjeni obrazac tehničke dokumentacije koji donosi Komisija trebao bi obuhvaćati sve primjenjive elemente povezane s tehničkom dokumentacijom utvrđenom u ovoj Uredbi i navesti kako mikropoduzeće ili malo poduzeće može sažeto dostaviti tražene elemente, kao što je opis projektiranja, razvoja i proizvodnje proizvoda s digitalnim elementima. Na taj način bi se tim obrascem doprinijelo smanjenju administrativnog opterećenja koje nastaje zbog usklađivanja tako što bi se predmetnim poduzećima pružila pravna sigurnost u pogledu opsega i detaljnosti informacija koje treba pružiti. Mikropoduzeća i mala poduzeća trebala bi moći odlučiti hoće li dostaviti primjenjive elemente povezane s tehničkom dokumentacijom putem opsežnog obrasca ili putem pojednostavnjenog obrasca koji im je dostupan.

(94)

Kako bi se promicale i zaštitile inovacije, važno je da se posebno uzmu u obzir interesi proizvođača koji su mikropoduzeća ili mala ili srednja poduzeća, a posebno mikropoduzeća i mala poduzeća, uključujući start-up poduzeća. U tu bi svrhu države članice mogle osmisliti inicijative za proizvođače koji su mikropoduzeća ili mala poduzeća u vezi s, među ostalim osposobljavanjem, podizanjem svijesti, informiranjem, ispitivanjem i aktivnostima ocjenjivanja sukladnosti trećih strana, kao i stvaranjem izoliranih okruženja. Troškovi prijevoda koji se odnose na obveznu dokumentaciju, kao što su tehnička dokumentacija te informacije i upute za korisnika koje se zahtijevaju u skladu s ovom Uredbom, te komunikaciju s nadležnim tijelima, mogu predstavljati znatan trošak za proizvođače, posebno za manje proizvođače. Stoga bi države članice trebale moći smatrati da je jezik koji odrede i prihvaćaju za relevantnu dokumentaciju proizvođača i komunikaciju s proizvođačima jedan od jezika koji u velikoj mjeri razumije najveći mogući broj korisnika.

(95)

Kako bi se osigurala neometana primjena ove Uredbe, države članice bi prije datuma početka primjene ove Uredbe trebale nastojati osigurati da je dostupan dovoljan broj prijavljenih tijela za ocjenjivanja sukladnosti koja provodi treća strana. Komisija bi trebala nastojati pomoći državama članicama i drugim relevantnim stranama u tom nastojanju kako bi se izbjegla uska grla i prepreke ulasku proizvođača na tržište. Ciljanim aktivnostima osposobljavanja koje provode države članice, među ostalim prema potrebi uz potporu Komisije, može se doprinijeti dostupnosti kvalificiranih stručnjaka, među ostalim za potporu aktivnostima prijavljenih tijela na temelju ove Uredbe. Nadalje, s obzirom na troškove koje može podrazumijevati ocjenjivanje sukladnosti koje provodi treća strana, trebalo bi razmotriti inicijative financiranja na razini Unije i na nacionalnoj razini kojima se nastoje smanjiti takvi troškovi za mikropoduzeća i mala poduzeća.

(96)

Kako bi se osigurala proporcionalnost, tijela za ocjenjivanje sukladnosti pri određivanju naknada za postupke ocjenjivanja sukladnosti trebala bi uzeti u obzir posebne interese i potrebe mikropoduzeća te malih i srednjih poduzeća, uključujući start-up poduzeća. Posebno, tijela za ocjenjivanje sukladnosti trebala bi primjenjivati relevantni postupak ispitivanja i ispitivanja predviđena ovom Uredbom samo ako je to primjereno i u skladu s pristupom koji se temelji na procjeni rizika.

(97)

Ciljevi regulatornih izoliranih okruženja trebali bi biti poticanje inovacija i konkurentnosti poduzeća uspostavom kontroliranih okruženja za testiranje prije stavljanja na tržište proizvoda s digitalnim elementima. Regulatorna izolirana okruženja trebala bi doprinijeti poboljšanju pravne sigurnosti za sve aktere obuhvaćene područjem primjene ove Uredbe te olakšati i ubrzati pristup tržištu Unije za proizvode s digitalnim elementima, posebno ako ih pružaju mikropoduzeća i mala poduzeća, uključujući start-up poduzeća.

(98)

Radi provedbe ocjenjivanja sukladnosti proizvoda s digitalnim elementima koje provodi treća strana nacionalna tijela koja provode prijavljivanje trebala bi Komisiji i drugim državama članicama prijaviti tijela za ocjenjivanje sukladnosti, pod uvjetom da su u skladu sa skupom zahtjeva, posebno u pogledu neovisnosti, stručnosti i nepostojanja sukoba interesa.

(99)

Kako bi se osigurala dosljedna razina kvalitete u ocjenjivanju sukladnosti proizvoda s digitalnim elementima, potrebno je utvrditi i zahtjeve za tijela koja provode prijavljivanje i druga tijela uključena u ocjenjivanje, prijavljivanje i praćenje prijavljenih tijela. Sustav utvrđen u ovoj Uredbi trebalo bi dopuniti akreditacijskim sustavom predviđenim u Uredbi (EZ) br. 765/2008. S obzirom na to da je akreditacija bitno sredstvo za provjeru stručnosti tijela za ocjenjivanje sukladnosti, trebala bi se upotrebljavati i u svrhu prijavljivanja.

(100)

Tijela za ocjenjivanje sukladnosti koja su akreditirana i prijavljena u skladu s pravom Unije kojim se utvrđuju zahtjevi slični onima utvrđenima u ovoj Uredbi, kao što je tijelo za ocjenjivanje sukladnosti koje je prijavljeno za europski program kibernetičke sigurnosne certifikacije donesen na temelju Uredbe (EU) 2019/881 ili je prijavljeno na temelju Delegirane uredbe (EU) 2022/30, trebalo bi ponovno ocijeniti i prijaviti u skladu s ovom Uredbom. Međutim, relevantna tijela mogu definirati sinergije u pogledu svih zahtjeva koji se preklapaju kako bi se spriječilo nepotrebno financijsko i administrativno opterećenje te osigurao neometan i pravodoban postupak prijavljivanja.

(101)

Nacionalna javna tijela u cijeloj Uniji trebala bi transparentnu akreditaciju predviđenu Uredbom (EZ) br. 765/2008, kojom se osigurava potrebna razina povjerenja u certifikate o sukladnosti, smatrati preferiranim sredstvom dokazivanja tehničke stručnosti tijela za ocjenjivanje sukladnosti. Međutim, nacionalna tijela mogu smatrati da raspolažu primjerenim sredstvima da sami provedu tu evaluaciju. U takvim slučajevima, kako bi se osigurala odgovarajuća razina vjerodostojnosti evaluacija koje provode druga nacionalna tijela, ona bi Komisiji i drugim državama članicama trebala dostaviti potrebnu dokaznu dokumentaciju o usklađenosti evaluiranih tijela za ocjenjivanje sukladnosti s relevantnim regulatornim zahtjevima.

(102)

Tijela za ocjenjivanje sukladnosti često podugovaraju dio svojih aktivnosti povezanih s ocjenjivanjem sukladnosti ili ih prenose na društvo kćer. Kako bi se zaštitila razina zaštite koja se zahtijeva za stavljanje na tržište proizvoda s digitalnim elementima, ključno je da podugovaratelji i društva kćeri koji ocjenjuju sukladnost ispunjavaju jednake zahtjeve kao prijavljena tijela u odnosu na ocjenjivanje sukladnosti.

(103)

Tijelo koje provodi prijavljivanje trebalo bi Komisiji i drugim državama članicama prijaviti tijelo za ocjenjivanje sukladnosti putem informacijskog sustava prijavljenih i imenovanih tijela prema novom pristupu (NANDO). Informacijski sustav NANDO je elektronički alat za prijavljivanje koji je razvila i vodi Komisija u kojem se može pronaći popis svih prijavljenih tijela.

(104)

S obzirom na to da prijavljena tijela mogu nuditi svoje usluge u cijeloj Uniji, primjereno je drugim državama članicama i Komisiji omogućiti da iznesu prigovore u pogledu pojedinog prijavljenog tijela. Stoga je važno predvidjeti razdoblje u kojem se sve sumnje ili pitanja koja se odnose na stručnost tijela za ocjenjivanje sukladnosti mogu razjasniti prije nego što počnu djelovati kao prijavljena tijela.

(105)

U interesu konkurentnosti ključno je da prijavljena tijela primjenjuju postupke ocjenjivanja sukladnosti bez stvaranja nepotrebnog opterećenja za gospodarske subjekte. Iz istog razloga i radi osiguravanja jednakog postupanja prema gospodarskim subjektima treba osigurati dosljednost pri tehničkoj primjeni postupaka ocjenjivanja sukladnosti. Primjerena koordinacija i suradnja prijavljenih tijela trebali bi biti najbolji načini da se to postigne.

(106)

Nadzor tržišta ključan je instrument za osiguravanje pravilne i ujednačene primjene prava Unije. Stoga je primjereno uspostaviti pravni okvir na temelju kojeg se nadzor tržišta može provoditi na odgovarajući način. Na proizvode s digitalnim elementima koji su obuhvaćeni područjem primjene ove Uredbe primjenjuju se pravila o nadzoru tržišta Unije i kontroli proizvoda koji ulaze na tržište Unije predviđena Uredbom (EU) 2019/1020.

(107)

U skladu s Uredbom (EU) 2019/1020 tijelo za nadzor tržišta provodi nadzor tržišta na državnom području države članice koja ga imenuje. Ova Uredba ne bi trebala spriječiti države članice da odaberu nadležna tijela za obavljanje zadaća nadzora tržišta. Svaka država članica trebala bi na svojem državnom području imenovati jedno ili više tijela za nadzor tržišta. Države članice trebale bi moći izabrati da kao tijelo za nadzor tržišta imenuju bilo koje postojeće ili novo tijelo, uključujući nadležna tijela koja su imenovana ili uspostavljena u skladu s člankom 8. Direktive (EU) 2022/2555, nacionalna tijela za kibernetičku sigurnosnu certifikaciju imenovana u skladu s člankom 58. Uredbe (EU) 2019/881 ili tijela za nadzor tržišta imenovana za potrebe Direktive 2014/53/EU. Gospodarski subjekti trebali bi u potpunosti surađivati s tijelima za nadzor tržišta i drugim nadležnim tijelima. Svaka država članica trebala bi obavijestiti Komisiju i ostale države članice o svojim tijelima za nadzor tržišta i područjima nadležnosti svakog od tih tijela te bi trebala osigurati potrebne resurse i vještine za obavljanje zadaća nadzora tržišta koje se odnose na ovu Uredbu. U skladu s člankom 10. stavcima 2. i 3. Uredbe (EU) 2019/1020 svaka država članica trebala bi odrediti jedinstveni ured za vezu koji bi trebao biti odgovoran, među ostalim, za zastupanje koordiniranog stajališta tijela za nadzor tržišta i pružanje pomoći u suradnji tijela za nadzor tržišta iz različitih država članica.

(108)

Radi ujednačene primjene ove Uredbe trebalo bi uspostaviti posebnu skupinu za ADCO za kibernetičku otpornost proizvoda s digitalnim elementima u skladu s člankom 30. stavkom 2. Uredbe (EU) 2019/1020. Skupina za ADCO trebala bi biti sastavljena od predstavnika imenovanih tijela za nadzor tržišta i, ako je primjereno, predstavnika jedinstvenih ureda za vezu. Komisija bi trebala podupirati i poticati suradnju tijelâ za nadzor tržišta u okviru Mreže Unije za sukladnost proizvoda, koja je uspostavljena u skladu s člankom 29. Uredbe (EU) 2019/1020 i sastoji se od predstavnika svake države članice, uključujući predstavnika svakog jedinstvenog ureda za vezu iz članka 10. te Uredbe i, prema potrebi, nacionalnog stručnjaka, predsjednikâ skupina za ADCO i predstavnikâ Komisije. Komisija bi trebala sudjelovati na sastancima Mreže Unije za sukladnost proizvoda, njezinih podskupina i skupine za ADCO. Ona bi trebala i pomagati skupini za ADCO preko izvršnog tajništva koje pruža tehničku i logističku potporu. Skupina za ADCO može pozvati i neovisne stručnjake da sudjeluju i da se povežu s drugim skupinama za ADCO, kao što je ona uspostavljena Direktivom 2014/53/EU.

(109)

Tijela za nadzor tržišta, putem skupine za ADCO uspostavljene ovom Uredbom, trebala bi blisko surađivati i trebala bi moći izraditi dokumente sa smjernicama za olakšavanje aktivnosti nadzora tržišta na nacionalnoj razini, primjerice razvojem najbolje prakse i pokazatelja za djelotvornu provjeru usklađenosti proizvoda s digitalnim elementima s ovom Uredbom.

(110)

Kako bi se osigurale pravodobne, proporcionalne i djelotvorne mjere povezane s proizvodima s digitalnim elementima koji predstavljaju znatan kibernetički sigurnosni rizik, trebalo bi predvidjeti zaštitni postupak Unije u okviru kojeg bi se zainteresirane strane obavješćivalo o mjerama koje se namjeravaju poduzeti u vezi s takvim proizvodima. Time bi se ujedno tijelima za nadzor tržišta omogućilo da, u suradnji s relevantnim gospodarskim subjektima, ako je potrebno djeluju u ranijoj fazi. Ako se države članice i Komisija slažu o opravdanosti mjere koju je poduzela država članica, daljnje sudjelovanje Komisije ne bi trebalo biti potrebno, osim ako se neusklađenost može pripisati nedostacima usklađene norme.

(111)

U određenim slučajevima proizvod s digitalnim elementima koji je usklađen s ovom Uredbom može ipak predstavljati znatan kibernetički sigurnosni rizik ili rizik za zdravlje ili sigurnost osoba, rizik za ispunjavanje obveza na temelju prava Unije ili nacionalnog prava za zaštitu temeljnih prava, rizik za dostupnost, autentičnost, cjelovitost ili povjerljivost usluga koje pomoću elektroničkog informacijskog sustava nude ključni subjekti kako su navedeni u članku 3. stavku 1. Direktive (EU) 2022/2555 ili rizik za druge aspekte zaštite javnog interesa. Stoga je potrebno uspostaviti pravila koja osiguravaju ublažavanje tih rizika. Tijela za nadzor tržišta posljedično bi trebala poduzeti mjere kako bi se od gospodarskog subjekta zahtijevalo da osigura da proizvod više ne predstavlja taj rizik, ili da ga opozove ili povuče, ovisno o riziku. Čim tijelo za nadzor tržišta ograniči ili zabrani slobodno kretanje proizvoda s digitalnim elementima na takav način, država članica trebala bi bez odgode obavijestiti Komisiju i ostale države članice o privremenim mjerama, navodeći razloge i obrazloženje odluke. Ako tijelo za nadzor tržišta donese takve mjere u odnosu na proizvode s digitalnim elementima koji predstavljaju rizik, Komisija bi se trebala bez odgode savjetovati s državama članicama i relevantnim gospodarskim subjektima te evaluirati nacionalnu mjeru. Na temelju rezultata te evaluacije Komisija bi trebala odlučiti je li nacionalna mjera opravdana ili nije. Komisija bi svoju odluku trebala uputiti svim državama članicama te je odmah dostaviti svim državama članicama i relevantnom gospodarskom subjektu odnosno relevantnim gospodarskim subjektima. Ako se mjera smatra opravdanom, Komisija bi također trebala razmotriti donošenje prijedlogâ za reviziju relevantnog prava Unije.

(112)

Za proizvode s digitalnim elementima koji predstavljaju znatan kibernetički sigurnosni rizik i ako postoji razlog za vjerovati da oni nisu u skladu s ovom Uredbom ili za proizvode koji su u skladu s ovom Uredbom, ali predstavljaju druge važne rizike, kao što su rizici za zdravlje ili sigurnost osoba, za ispunjavanje obveza na temelju prava Unije ili nacionalnog prava za zaštitu temeljnih prava ili za dostupnost, autentičnost, cjelovitost ili povjerljivost usluga koje pomoću elektroničkog informacijskog sustava nude ključni subjekti kako su navedeni u članku 3. stavku 1. Direktive (EU) 2022/2555, Komisija bi trebala moći zatražiti od ENISA-e da provede evaluaciju. Na temelju te evaluacije Komisija bi trebala moći provedbenim aktima donijeti korektivne ili restriktivne mjere na razini Unije, uključujući zahtijevanje povlačenja s tržišta predmetnih proizvoda s digitalnim elementima ili njihova opoziva u razumnom roku, razmjerno vrsti rizika. Komisija bi trebala moći pribjeći takvoj intervenciji samo u iznimnim okolnostima koje opravdavaju brzu intervenciju radi očuvanja pravilnog funkcioniranja unutarnjeg tržišta i samo ako tijela za nadzor tržišta nisu poduzela djelotvorne mjere za ispravljanje situacije. Takve iznimne okolnosti mogu biti izvanredne situacije u kojima na primjer proizvođač omogući široku dostupnost neusklađenog proizvoda s digitalnim elementima u nekoliko država članica, koji usto u ključnim sektorima rabe subjekti obuhvaćeni područjem primjene Direktive (EU) 2022/2555, pri čemu sadržava poznate ranjivosti koje zlonamjerni akteri iskorištavaju i za koje proizvođač ne pruža dostupne zakrpe. Komisija bi trebala moći intervenirati u takvim izvanrednim situacijama samo dok traju iznimne okolnosti i ako neusklađenost s ovom Uredbom ili važni rizici koje proizvod predstavlja potraju.

(113)

Ako postoje naznake neusklađenost s ovom Uredbom u nekoliko država članica, tijela za nadzor tržišta trebala bi moći provoditi zajedničke aktivnosti s drugim tijelima radi provjere usklađenosti i utvrđivanja kibernetičkih sigurnosnih rizika proizvoda s digitalnim elementima.

(114)

Istodobne koordinirane kontrolne mjere („opsežne provjere”) posebne su mjere izvršavanja tijela za nadzor tržišta kojima se može dodatno povećati sigurnost proizvoda. Opsežne provjere trebalo bi ponajprije provoditi kad tržišni trendovi, pritužbe potrošača ili druge naznake upućuju na to da određene kategorije proizvoda s digitalnim elementima često predstavljaju kibernetičke sigurnosne rizike. Nadalje, pri određivanju kategorija proizvoda koje treba podvrgnuti opsežnim provjerama, tijela za nadzor tržišta trebala bi uzeti u obzir i okolnosti koje se odnose na netehničke čimbenike rizika. U tu bi svrhu tijela za nadzor tržišta trebala moći uzeti u obzir rezultate koordiniranih procjena sigurnosnih rizika ključnih lanaca opskrbe na razini Unije provedenih u skladu s člankom 22. Direktive (EU) 2022/2555, uključujući okolnosti koje se odnose na netehničke čimbenike rizika. ENISA bi tijelima za nadzor tržišta trebala podnijeti prijedloge kategorija proizvoda s digitalnim elementima za koje bi se mogle organizirati opsežne provjere, na temelju, među ostalim, obavijesti o ranjivostima proizvoda i incidentima koje primi.

(115)

S obzirom na svoju stručnost i ovlasti ENISA bi trebala moći pružati potporu procesu provedbe ove Uredbe. ENISA bi posebno trebala moći predlagati zajedničke aktivnosti koje bi provodila tijela za nadzor tržišta na temelju naznaka ili informacija povezanih s potencijalnom neusklađenošću proizvodâ s digitalnim elementima s ovom Uredbom u nekoliko država članica ili utvrditi kategorije proizvoda za koje bi trebalo organizirati opsežne provjere. U iznimnim okolnostima, ako je potrebna brza intervencija radi očuvanja pravilnog funkcioniranja unutarnjeg tržišta, ENISA bi, na zahtjev Komisije, trebala moći provesti evaluacije u pogledu određenih proizvoda s digitalnim elementima koji predstavljaju znatan kibernetički sigurnosni rizik.

(116)

Ovom se Uredbom ENISA-i dodjeljuju određene zadaće za koje su potrebni odgovarajući resursi, kako u pogledu stručnosti tako i ljudskih resursa, kako bi se ENISA-i omogućilo da djelotvorno izvršava te zadaće. Komisija će pri pripremi nacrta općeg proračuna Unije predložiti potrebna proračunska sredstva za plan radnih mjesta ENISA-e u skladu s postupkom utvrđenim u članku 29. Uredbe (EU) 2019/881. Tijekom tog procesa Komisija će razmotriti ukupne resurse ENISA-e kako bi joj se omogućilo da ispuni svoje zadaće, uključujući one koje su ENISA-i dodijeljene na temelju ove Uredbe.

(117)

Kako bi se osiguralo da se regulatorni okvir može prilagođavati ako je to potrebno, Komisiji bi trebalo delegirati ovlast za donošenje akata u skladu s člankom 290. Ugovora o funkcioniranju Europske unije (UFEU) u vezi s ažuriranjem priloga ovoj Uredbi u kojem se navode važni proizvodi s digitalnim elementima. Ovlast za donošenje akata u skladu s tim člankom Komisiji bi trebalo delegirati radi utvrđivanja proizvoda s digitalnim elementima koji su obuhvaćeni drugim pravilima Unije kojima se postiže jednaka razina zaštite kao i ovom Uredbom, navodeći, ako je primjenjivo, je li potrebno ograničenje područja primjene ove Uredbe ili isključenje iz područja primjene ove Uredbe te opseg tog ograničenja. Ovlast za donošenje akata u skladu s tim člankom Komisiji bi trebalo delegirati i u vezi s potencijalnim uvođenjem obveze certifikacije u okviru europskog programa kibernetičke sigurnosne certifikacije kritičnih proizvoda s digitalnim elementima utvrđenih u prilogu ovoj Uredbi, kao i za ažuriranje popisa kritičnih proizvoda s digitalnim elementima na temelju kriterija kritičnosti utvrđenih u ovoj Uredbi, te za utvrđivanje europskih programa kibernetičke sigurnosne certifikacije donesenih na temelju Uredbe (EU) 2019/881 koji se mogu upotrijebiti za dokazivanje sukladnosti s bitnim zahtjevima u pogledu kibernetičke sigurnosti ili njihovim dijelovima kako su utvrđeni u prilogu ovoj Uredbi. Komisiji bi trebalo delegirati i ovlast za donošenje akata kako bi se odredilo minimalno razdoblje potpore za određene kategorije proizvoda ako podaci o nadzoru tržišta pokazuju da su razdoblja potpore neprimjerena te kako bi se odredili uvjeti za primjenu razloga povezanih s kibernetičkom sigurnošću u vezi s odgodom širenja obavijesti o aktivno iskorištenim ranjivostima. Nadalje, Komisiji bi trebalo delegirati ovlast za donošenje akata radi uspostave dobrovoljnih programa za sigurnosne potvrde o ocjenjivanju sukladnosti proizvoda s digitalnim elementima koji se smatraju besplatnim softverom otvorenog koda sa svim ili određenim bitnim zahtjevima u pogledu kibernetičke sigurnosti ili drugim obvezama utvrđenima u ovoj Uredbi te radi određivanja minimalnog sadržaja EU izjave o sukladnosti i dodatnih elemenata koje treba uključiti u tehničku dokumentaciju. Posebno je važno da Komisija tijekom svojeg pripremnog rada provede odgovarajuća savjetovanja, uključujući ona na razini stručnjaka, te da se ta savjetovanja provedu u skladu s načelima utvrđenima u Međuinstitucijskom sporazumu o boljoj izradi zakonodavstva od 13. travnja 2016. (31). Osobito, s ciljem osiguravanja ravnopravnog sudjelovanja u pripremi delegiranih akata, Europski parlament i Vijeće primaju sve dokumente istodobno kada i stručnjaci iz država članica te njihovi stručnjaci sustavno imaju pristup sastancima stručnih skupina Komisije koji se odnose na pripremu delegiranih akata. Ovlast za donošenje delegiranih akata u skladu s ovom Uredbom trebala bi se dodijeliti Komisiji na razdoblje od pet godina počevši od 10. prosinca 2024. Komisija bi trebala izraditi izvješće o delegiranju ovlasti najkasnije devet mjeseci prije kraja razdoblja od pet godina. Delegiranje ovlasti prešutno bi se trebalo produljiti za razdoblja jednakog trajanja, osim ako se Europski parlament ili Vijeće tom produljenju usprotive najkasnije tri mjeseca prije kraja svakog razdoblja.

(118)

Radi osiguranja jedinstvenih uvjeta za provedbu ove Uredbe, provedbene ovlasti trebalo bi dodijeliti Komisiji za određivanje tehničkog opisa kategorija važnih proizvoda s digitalnim elementima utvrđenih u prilogu ovoj Uredbi, određivanje formata i elemenata popisa softverskog materijala, pobliže određivanje formata i postupka podnošenja obavijesti o aktivno iskorištenim ranjivostima i značajnim incidentima koji utječu na sigurnost proizvoda s digitalnim elementima koje podnose proizvođači, utvrđivanje zajedničkih specifikacija koje obuhvaćaju tehničke zahtjeve kojima se osigurava sredstvo za usklađivanje s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u prilogu ovoj Uredbi, utvrđivanje tehničkih specifikacija za oznake, piktograme i sve druge oznake povezane sa sigurnošću proizvoda s digitalnim elementima, njihova razdoblja potpore te mehanizama za promicanje njihove upotrebe i podizanje javne svijesti o sigurnosti proizvoda s digitalnim elementima, utvrđivanje pojednostavnjenog obrasca dokumentacije namijenjenog potrebama mikropoduzeća i malih poduzeća te odlučivanje o korektivnim ili restriktivnim mjerama na razini Unije u iznimnim okolnostima koje opravdavaju brzu intervenciju radi očuvanja pravilnog funkcioniranja unutarnjeg tržišta. Te bi ovlasti trebalo izvršavati u skladu s Uredbom (EU) br. 182/2011 Europskog parlamenta i Vijeća (32).

(119)

Kako bi se osigurala konstruktivna suradnja koja se temelji na povjerenju između tijela za nadzor tržišta na razini Unije i na nacionalnoj razini, sve strane uključene u primjenu ove Uredbe trebale bi poštovati povjerljivost informacija i podataka pribavljenih pri obavljanju svojih zadaća.

(120)

Kako bi se osiguralo djelotvorno izvršavanje obveza utvrđenih u ovoj Uredbi, svako tijelo za nadzor tržišta trebalo bi imati ovlast izricati ili zahtijevati izricanje upravnih novčanih kazni. Stoga bi u nacionalnom pravu trebalo utvrditi najviše upravne novčane kazne za nepoštovanje obveza utvrđenih ovom Uredbom. Pri odlučivanju o iznosu upravne novčane kazne u svakom pojedinačnom slučaju u obzir bi trebalo uzeti sve relevantne okolnosti konkretne situacije, a minimalno one izričito utvrđene ovom Uredbom, među ostalim je li proizvođač mikropoduzeće ili malo ili srednje poduzeće, uključujući start-up poduzeće i jesu li ista ili druga tijela za nadzor tržišta već izrekla upravne novčane kazne istom gospodarskom subjektu za slična kršenja. Takve bi okolnosti mogle biti otegotne, u situacijama u kojima isti gospodarski subjekt nastavlja s kršenjem na državnim područjima država članica koje nisu država članica u kojoj mu je upravna novčana kazna već izrečena, ili olakotne, jer bi trebale osigurati da druga tijela za nadzor tržišta pri razmatranju bilo koje druge upravne novčane kazne za isti gospodarski subjekt ili istu vrstu kršenja uzmu u obzir, zajedno s drugim relevantnim posebnim okolnostima, vrstu i visinu sankcije izrečene u drugim državama članicama. U svim takvim slučajevima kumulativna upravna novčana kazna koju bi tijela za nadzor tržišta nekoliko država članica mogla izreći istom gospodarskom subjektu za istu vrstu kršenja trebala bi osigurati poštovanje načela proporcionalnosti. S obzirom na to da se upravne novčane kazne zbog nepoštovanja roka od 24 sata za rano upozorenje o aktivno iskorištenim ranjivostima ili značajnim incidentima koji utječu na sigurnost proizvoda s digitalnim elementima ne primjenjuju na mikropoduzeća ili mala poduzeća, kao ni na upravitelje softvera otvorenog koda za bilo koje kršenje ove Uredbe te podložno načelu da bi sankcije trebale biti učinkovite, proporcionalne i odvraćajuće, države članice tim subjektima ne bi trebale nametati druge vrste novčanih kazni.

(121)

Ako su upravne novčane kazne izrečene osobi koja nije poduzeće, pri razmatranju odgovarajućeg iznosa novčane kazne nadležno tijelo trebalo bi uzeti u obzir opću razinu dohotka u državi članici te ekonomsko stanje osobe. Države članice trebale bi moći utvrditi i trebaju li i do koje mjere primjenjivati upravne novčane kazne za javna tijela.

(122)

Države članice trebale bi, uzimajući u obzir nacionalne okolnosti, ispitati mogućnost upotrebe prihoda od sankcija predviđenih u ovoj Uredbi ili njihova financijskog ekvivalenta za potporu kibernetičkim sigurnosnim politikama i povećanje razine kibernetičke sigurnosti u Uniji, među ostalim povećanjem broja kvalificiranih stručnjaka za kibernetičku sigurnost, jačanjem izgradnje kapaciteta mikropoduzeća te malih i srednjih poduzeća te poboljšanjem javne svijesti o kibernetičkim prijetnjama.

(123)

U svojim odnosima s trećim zemljama Unija nastoji promicati međunarodnu trgovinu reguliranim proizvodima. Može se primijeniti širok raspon mjera kako bi se olakšala trgovina, uključujući nekoliko pravnih instrumenata kao što su bilateralni (međuvladini) sporazumi o uzajamnom priznavanju ocjenjivanja sukladnosti i označivanja reguliranih proizvoda. Sporazumi o uzajamnom priznavanju sklapaju se između Unije i trećih zemalja koje su na usporedivoj razini tehničkog razvoja i imaju kompatibilan pristup u pogledu ocjenjivanja sukladnosti. Ti se sporazumi temelje na uzajamnom prihvaćanju potvrda, oznaka sukladnosti i rezultata ispitivanja koje izdaju tijela za ocjenjivanje sukladnosti bilo koje stranke u skladu sa zakonodavstvom druge stranke. Trenutačno ti sporazumi postoje s nekoliko trećih zemalja. Sporazumi o uzajamnom priznavanju sklapaju se u više posebnih sektora koji se mogu razlikovati od jedne do druge treće zemlje. Kako bi se dodatno olakšala trgovina i s obzirom na to da su lanci opskrbe proizvoda s digitalnim elementima globalni, sporazumi o uzajamnom priznavanju ocjenjivanja sukladnosti mogu se sklopiti za proizvode koje Unija uređuje ovom Uredbom u skladu s člankom 218. UFEUA-a. Važna je i suradnja s partnerskim trećim zemljama radi povećanja kibernetičke otpornosti na globalnoj razini jer će to dugoročno doprinijeti učvršćivanju okvira kibernetičke sigurnosti unutar i izvan Unije.

(124)

Potrošači bi trebali biti ovlašteni ostvarivati svoja prava u odnosu na obveze nametnute gospodarskim subjektima na temelju ove Uredbe putem predstavničkih tužbi u skladu s Direktivom (EU) 2020/1828 Europskog parlamenta i Vijeća (33). U tu bi svrhu ovom Uredbom trebalo predvidjeti da je Direktiva (EU) 2020/1828 primjenjiva na predstavničke tužbe koje se odnose na kršenja ove Uredbe koje štete ili mogu naštetiti kolektivnim interesima potrošača. Prilog I. toj direktivi trebalo bi stoga na odgovarajući način izmijeniti. Države članice trebale bi osigurati da se te izmjene uzmu u obzir u mjerama za prenošenje donesenima u skladu s tom direktivom, iako donošenje nacionalnih mjera za prenošenje u tom pogledu nije uvjet za primjenjivost te direktive na te predstavničke tužbe. Primjenjivost te direktive na predstavničke tužbe podnesene zbog kršenja odredaba ove Uredbe od strane gospodarskih subjekata koje štete ili mogu naštetiti kolektivnim interesima potrošača, trebala bi početi od 11. prosinca 2027.

(125)

Komisija bi periodično trebala evaluirati i preispitivati ovu Uredbu, uz savjetovanje s relevantnim dionicima, posebno radi utvrđivanja potrebe izmjene u svjetlu promjene društvenih, političkih, tehnoloških i tržišnih uvjeta. Ovom Uredbom olakšat će se usklađenost s obvezama u pogledu sigurnosti lanca opskrbe subjektima obuhvaćenima područjem primjene Uredbe (EU) 2022/2554 i Direktive (EU) 2022/2555 koji upotrebljavaju proizvode s digitalnim elementima. Komisija bi u okviru tog periodičnog preispitivanja trebala evaluirati kombinirane učinke okvira Unije za kibernetičku sigurnost.

(126)

Gospodarskim subjektima trebalo bi dati dovoljno vremena za prilagodbu zahtjevima utvrđenima u ovoj Uredbi. Ova bi se Uredba trebala primjenjivati od 11. prosinca 2027., uz iznimku obveza u pogledu izvješćivanja povezanih s aktivno iskorištenim ranjivostima i značajnim incidentima koji utječu na sigurnost proizvoda s digitalnim elementima, koje bi se trebale primjenjivati od 11. rujna 2026. i odredaba o prijavljivanju tijelâ za ocjenjivanje sukladnosti, koje bi se trebale primjenjivati od 11. lipnja 2026.

(127)

Važno je pružiti potporu mikropoduzećima te malim i srednjim poduzećima, među ostalim start-up poduzećima, u provedbi ove Uredbe i minimizirati rizike za provedbu koji proizlaze iz nedostatka znanja i stručnosti na tržištu i kako bi se proizvođačima olakšalo ispunjavanje njihovih obveza utvrđenih u ovoj Uredbi. Programom Digitalna Europa i drugim relevantnim programima Unije pruža se financijska i tehnička potpora koja tim poduzećima omogućuje da doprinesu rastu gospodarstva Unije i jačanju zajedničke razine kibernetičke sigurnosti u Uniji. Europski stručni centar za industriju, tehnologiju i istraživanja u području kibernetičke sigurnosti i nacionalni koordinacijski centri te europski centri za digitalne inovacije koje su Komisija i države članice uspostavile na razini Unije ili na nacionalnoj razini mogli bi također podupirati i poduzeća i organizacije javnog sektora te bi mogli doprinijeti provedbi ove Uredbe. U okviru svojih zadaća i područja nadležnosti mogli bi pružati tehničku i znanstvenu potporu mikropoduzećima te malim i srednjim poduzećima, primjerice za aktivnosti ispitivanja i ocjenjivanje sukladnosti koje provodi treća strana. Njima bi se također moglo poticati uvođenje alata za olakšavanje provedbe ove Uredbe.

(128)

Nadalje, države članice trebale bi razmotriti poduzimanje dopunskih mjera čiji je cilj pružanje smjernica i potpore mikropoduzećima te malim i srednjim poduzećima, kao što je uspostava regulatornih izoliranih okruženja i namjenskih kanala za komunikaciju. Kako bi se ojačala razina kibernetičke sigurnosti u Uniji, države članice mogu razmotriti i pružanje potpore za razvoj kapaciteta i vještina povezanih s kibernetičkom sigurnošću proizvoda s digitalnim elementima, poboljšanje kibernetičke otpornosti gospodarskih subjekata, posebno mikropoduzeća te malih i srednjih poduzeća, te poticanje javne svijesti o kibernetičkoj sigurnosti proizvoda s digitalnim elementima.

(129)

S obzirom na to da cilj ove Uredbe ne mogu dostatno ostvariti države članice, nego se zbog učinaka djelovanja on na bolji način može ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. Ugovora o Europskoj uniji. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tog cilja.

(130)

Provedeno je savjetovanje s Europskim nadzornikom za zaštitu podataka u skladu s člankom 42. stavkom 1. Uredbe (EU) 2018/1725 Europskog parlamenta i Vijeća (34) te je on dao mišljenje 9. studenoga 2022. (35),