Dokument ten służy wyłącznie do celów informacyjnych i nie ma mocy prawnej. Unijne instytucje nie ponoszą żadnej odpowiedzialności za jego treść. Autentyczne wersje odpowiednich aktów prawnych, włącznie z ich preambułami, zostały opublikowane w Dzienniku Urzędowym Unii Europejskiej i są dostępne na stronie EUR-Lex. Bezpośredni dostęp do tekstów urzędowych można uzyskać za pośrednictwem linków zawartych w dokumencie

ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2024/2847

z dnia 23 października 2024 r.

w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności)

(Tekst mający znaczenie dla EOG)

ROZDZIAŁ I

PRZEPISY OGÓLNE

Artykuł 1

Przedmiot

W niniejszym rozporządzeniu ustanawia się:

przepisy dotyczące udostępniania na rynku produktów z elementami cyfrowymi w celu zapewnienia cyberbezpieczeństwa takich produktów;

zasadnicze wymagania w zakresie cyberbezpieczeństwa dotyczące projektowania, opracowywania i produkcji produktów z elementami cyfrowymi oraz obowiązki podmiotów gospodarczych w odniesieniu do tych produktów w zakresie cyberbezpieczeństwa;

zasadnicze wymagania w zakresie cyberbezpieczeństwa dotyczące wprowadzanych przez producentów procedur postępowania w przypadku wykrycia podatności w celu zapewnienia cyberbezpieczeństwa produktów z elementami cyfrowymi przez okres oczekiwanego użytkowania produktu oraz obowiązki podmiotów gospodarczych w odniesieniu do tych procedur;

przepisy dotyczące nadzoru rynku, w tym monitorowania, i egzekwowania wymienionych w niniejszym artykule przepisów i wymagań.

Artykuł 2

Zakres

Niniejsze rozporządzenie stosuje się do udostępnianych na rynku produktów z elementami cyfrowymi, których przeznaczenie lub racjonalnie przewidywalne wykorzystanie obejmuje bezpośrednie lub pośrednie logiczne lub fizyczne połączenie danych z urządzeniem lub siecią.

Niniejszego rozporządzenia nie stosuje się do produktów z elementami cyfrowymi, do których zastosowanie mają następujące akty prawne Unii:

rozporządzenie (UE) 2017/745;

rozporządzenie (UE) 2017/746;

rozporządzenie (UE) 2019/2144.

Niniejszego rozporządzenia nie stosuje się do produktów z elementami cyfrowymi, które uzyskały certyfikację zgodnie z rozporządzeniem (UE) 2018/1139.

Niniejszego rozporządzenia nie stosuje się do urządzeń objętych zakresem dyrektywy Parlamentu Europejskiego i Rady 2014/90/UE ( 1 ).

Stosowanie niniejszego rozporządzenia do produktów z elementami cyfrowymi objętych innymi przepisami unijnymi ustanawiającymi wymogi odnoszące się do wszystkich lub niektórych rodzajów ryzyka objętych zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I może zostać ograniczone lub podlegać wyłączeniu, jeżeli:

takie ograniczenie lub wyłączenie jest spójne z ogólnymi ramami regulacyjnymi mającymi zastosowanie do tych produktów; oraz

przepisy sektorowe zapewniają taki sam lub wyższy poziom ochrony niż przewidziany w niniejszym rozporządzeniu.

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 w celu uzupełnienia niniejszego rozporządzenia przez określenie, czy takie ograniczenie lub wyłączenie jest niezbędne, określenie odnośnych produktów i przepisów, jak również – w stosownych przypadkach – zakresu ograniczenia.

Niniejsze rozporządzenie nie stosuje się do części zamiennych, które są udostępniane na rynku w celu wymiany identycznych komponentów produktów z elementami cyfrowymi i które są wytwarzane zgodnie z tymi samymi specyfikacjami co komponenty, które mają wymienić.

Niniejszego rozporządzenia nie stosuje się do produktów z elementami cyfrowymi opracowanych lub zmodyfikowanych wyłącznie na potrzeby bezpieczeństwa narodowego lub obronności ani do produktów zaprojektowanych specjalnie w celu przetwarzania informacji niejawnych.

Obowiązki ustanowione w niniejszym rozporządzeniu nie wiążą się z dostarczaniem informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami bezpieczeństwa narodowego, bezpieczeństwa publicznego lub obronności państw członkowskich.

Artykuł 3

Definicje

Do celów niniejszego rozporządzenia stosuje się następujące definicje:

„produkt z elementami cyfrowymi” oznacza oprogramowanie komputerowe lub sprzęt komputerowy oraz powiązane z nimi rozwiązania w zakresie zdalnego przetwarzania danych, w tym komponenty oprogramowania lub sprzętu, które są oddzielnie wprowadzane do obrotu;

„zdalne przetwarzanie danych” oznacza przetwarzanie danych na odległość, na potrzeby którego oprogramowanie zostało zaprojektowane i opracowane przez producenta lub na odpowiedzialność producenta, a którego brak spowodowałby, że produkt z elementami cyfrowymi nie mógłby wykonywać jednej ze swoich funkcji;

„cyberbezpieczeństwo” oznacza cyberbezpieczeństwo zdefiniowane w art. 2 pkt 1 rozporządzenia (UE) 2019/881;

„oprogramowanie” oznacza część elektronicznego systemu informacyjnego, która składa się z kodu komputerowego;

„sprzęt” oznacza fizyczny elektroniczny system informacyjny lub jego części zdolne do przetwarzania, przechowywania lub przekazywania danych cyfrowych;

„komponent” oznacza oprogramowanie lub sprzęt przeznaczone do zintegrowania z elektronicznym systemem informacyjnym;

„elektroniczny system informacyjny” oznacza system, w tym sprzęt elektryczny lub elektroniczny, zdolny do przetwarzania, przechowywania lub przekazywania danych cyfrowych;

„połączenie logiczne” oznacza wirtualną reprezentację połączenia danych zrealizowanego za pośrednictwem interfejsu oprogramowania;

„połączenie fizyczne” oznacza każde połączenie między elektronicznymi systemami informacyjnymi lub komponentami zrealizowane przy użyciu środków fizycznych, w tym za pośrednictwem interfejsów elektrycznych, optycznych lub mechanicznych, przewodów lub fal radiowych;

10)

„połączenie pośrednie” oznacza połączenie z urządzeniem lub siecią, które nie jest nawiązywane bezpośrednio, lecz jako część większego systemu, który można bezpośrednio połączyć z takim urządzeniem lub siecią;

11)

„punkt końcowy” oznacza każde urządzenie, które jest połączone z siecią i służy jako punkt wejścia do tej sieci;

12)

„podmiot gospodarczy” oznacza producenta, upoważnionego przedstawiciela, importera, dystrybutora lub każdą inną osobę fizyczną lub prawną podlegającą obowiązkom związanym z wytwarzaniem produktów z elementami cyfrowymi lub udostępnianiem produktów z elementami cyfrowymi na rynku zgodnie z niniejszym rozporządzeniem;

13)

„producent” oznacza osobę fizyczną lub prawną, która opracowuje lub wytwarza produkty z elementami cyfrowymi lub zleca zaprojektowanie, opracowanie lub wytworzenie produktów z elementami cyfrowymi i wprowadza te produkty do obrotu pod własną nazwą handlową lub znakiem towarowym, za opłatą, na zasadzie monetyzacji lub bezpłatnie;

14)

„opiekun oprogramowania otwartego” oznacza osobę prawną inną niż producent, której celem jest systematyczne i stałe wsparcie na rzecz opracowywania konkretnych produktów z elementami cyfrowymi, kwalifikujących się jako wolne i otwarte oprogramowanie oraz przeznaczonych do celów komercyjnych, oraz która zapewnia prawidłowe funkcjonowanie tych produktów;

15)

„upoważniony przedstawiciel” oznacza osobę fizyczną lub prawną, która ma miejsce zamieszkania lub siedzibę w Unii i otrzymała pisemne pełnomocnictwo producenta do wykonywania w jego imieniu określonych zadań;

16)

„importer” oznacza osobę fizyczną lub prawną, która ma miejsce zamieszkania lub siedzibę w Unii i wprowadza do obrotu produkt z elementami cyfrowymi opatrzony nazwą handlową lub znakiem towarowym osoby fizycznej lub prawnej mającej miejsce zamieszkania lub siedzibę poza granicami Unii;

17)

„dystrybutor” oznacza osobę fizyczną lub prawną w łańcuchu dostaw, inną niż producent lub importer, która udostępnia produkt z elementami cyfrowymi na rynku unijnym bez zmiany jego właściwości;

18)

„konsument” oznacza osobę fizyczną działającą w celach niezwiązanych z jej działalnością handlową, gospodarczą, rzemieślniczą lub zawodową;

19)

„mikroprzedsiębiorstwa”, „małe przedsiębiorstwa” oraz „średnie przedsiębiorstwa” oznaczają, odpowiednio, mikroprzedsiębiorstwa, małe przedsiębiorstwa i średnie przedsiębiorstwa zgodnie z definicją zawartą w załączniku do zalecenia 2003/361/WE;

20)

„okres wsparcia” oznacza okres, w którym producent jest zobowiązany zapewniać, aby na podatności w zabezpieczeniach produktu z elementami cyfrowymi reagowano skutecznie i zgodnie z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II;

21)

„wprowadzenie do obrotu” oznacza udostępnienie produktu z elementami cyfrowymi na rynku Unii po raz pierwszy;

22)

„udostępnienie na rynku” oznacza dostarczenie produktu z elementami cyfrowymi do celów dystrybucji lub używania na rynku Unii w ramach działalności handlowej, odpłatnie lub nieodpłatnie;

23)

„przeznaczenie” oznacza zastosowanie, do którego produkt z elementami cyfrowymi został przeznaczony przez jego producenta, w tym określony kontekst i warunki wykorzystywania, wskazane w informacjach dostarczonych przez producenta w instrukcji obsługi, materiałach promocyjnych lub sprzedażowych i oświadczeniach, jak również w dokumentacji technicznej;

24)

„racjonalnie przewidywalne wykorzystanie” oznacza zastosowanie, które niekoniecznie jest przeznaczeniem podanym przez producenta w instrukcji obsługi, materiałach promocyjnych lub sprzedażowych i oświadczeniach, jak również w dokumentacji technicznej, ale które najpewniej wynika z dającego się racjonalnie przewidzieć zachowania człowieka, operacji technicznych lub interakcji;

25)

„racjonalnie przewidywalne niewłaściwe wykorzystanie” oznacza wykorzystanie produktu z elementami cyfrowymi niezgodnie z jego przeznaczeniem, które może jednak wynikać z dającego się racjonalnie przewidzieć zachowania człowieka lub interakcji z innymi systemami;

26)

„organ notyfikujący” oznacza organ krajowy, który odpowiada za opracowanie i stosowanie procedur koniecznych do oceny, wyznaczania i notyfikowania jednostek oceniających zgodność oraz za ich monitorowanie;

27)

„ocena zgodności” oznacza proces weryfikacji, czy spełniono zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I;

28)

„jednostka oceniająca zgodność” oznacza jednostkę oceniającą zgodność w rozumieniu art. 2 pkt 13 rozporządzenia (WE) nr 765/2008;

29)

„jednostka notyfikowana” oznacza jednostkę oceniającą zgodność wyznaczoną zgodnie z art. 43 i innym stosownym unijnym prawodawstwem harmonizacyjnym;

30)

„istotna modyfikacja” oznacza zmianę w produkcie z elementami cyfrowymi po jego wprowadzeniu do obrotu, która wpływa na zgodność produktu z elementami cyfrowymi z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I lub która powoduje zmianę przeznaczenia, w odniesieniu do którego oceniono produkt z elementami cyfrowymi;

31)

„oznakowanie zgodności CE” oznacza oznakowanie, za pomocą którego producent wskazuje, że produkt z elementami cyfrowymi i procedury wprowadzone przez producenta spełniają zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I i innym mającym zastosowanie unijnym prawodawstwie harmonizacyjnym przewidującym umieszczanie takiego oznakowania;

32)

„unijne prawodawstwo harmonizacyjne” oznacza przepisy Unii wymienione w załączniku I do rozporządzenia (UE) 2019/1020 oraz wszelkie inne przepisy Unii harmonizujące warunki wprowadzania do obrotu produktów, do których to rozporządzenie ma zastosowanie;

33)

„organ nadzoru rynku” oznacza organ nadzoru rynku zgodnie z definicją w art. 3 pkt 4 rozporządzenia (UE) 2019/1020;

34)

„norma międzynarodowa” oznacza normę międzynarodową zgodnie z definicją w art. 2 pkt 1 lit. a) rozporządzenia (UE) nr 1025/2012;

35)

„norma europejska” oznacza normę europejską zgodnie z definicją w art. 2 pkt 1 lit. b) rozporządzenia (UE) nr 1025/2012;

36)

„norma zharmonizowana” oznacza normę zharmonizowaną zgodnie z definicją zawartą w art. 2 pkt 1 lit. c) rozporządzenia (UE) nr 1025/2012;

37)

„ryzyko w cyberprzestrzeni” oznacza potencjalną stratę lub potencjalne zakłócenie spowodowane incydentem i ma być wyrażone jako wypadkowa skali takiej straty lub zakłócenia oraz prawdopodobieństwa wystąpienia takiego incydentu;

38)

„istotne ryzyko w cyberprzestrzeni” oznacza ryzyko w cyberprzestrzeni, w przypadku którego, na podstawie jego charakterystyki technicznej, można założyć wysokie prawdopodobieństwo wystąpienia incydentu, który mógłby doprowadzić do poważnych negatywnych skutków, w tym przez spowodowanie znacznej straty materialnej lub niematerialnej lub znacznego zakłócenia;

39)

„zestawienie podstawowych materiałów do produkcji oprogramowania” oznacza formalny zapis zawierający szczegóły i relacje w łańcuchu dostaw składników wchodzących w skład elementów oprogramowania komputerowego produktu z elementami cyfrowymi;

40)

„podatność” oznacza słabość, wrażliwość lub wadę produktu z elementami cyfrowymi, które można wykorzystać podczas cyberzagrożenia;

41)

„nadająca się do wykorzystania podatność” oznacza podatność, która może zostać skutecznie wykorzystana przez atakującego w praktycznych warunkach eksploatacji;

42)

„aktywnie wykorzystywana podatność” oznacza podatność, w przypadku której istnieją wiarygodne dowody, że podmiot działający w złych zamiarach wykorzystał ją w systemie bez zgody właściciela systemu;

43)

„incydent” oznacza incydent zgodnie z definicją w art. 6 pkt 6 dyrektywy (UE) 2022/2555;

44)

„incydent wywierający wpływ na bezpieczeństwo produktu z elementami cyfrowymi” oznacza incydent, który negatywnie wpływa lub może mieć negatywny wpływ na zdolność produktu z elementami cyfrowymi do ochrony dostępności, autentyczności, integralności lub poufności danych lub funkcji;

45)

„potencjalne zdarzenie dla cyberbezpieczeństwa” oznacza potencjalne zdarzenie dla cyberbezpieczeństwa zgodnie z definicją w art. 6 pkt 5 dyrektywy (UE) 2022/2555;

46)

„cyberzagrożenie” oznacza cyberzagrożenie zgodnie z definicją w art. 2 pkt 8 rozporządzenia (UE) 2019/881;

47)

„dane osobowe” oznaczają dane osobowe zdefiniowane w art. 4 pkt 1 rozporządzenia (UE) 2016/679;

48)

„wolne i otwarte oprogramowanie” oznacza oprogramowanie, którego kod źródłowy jest powszechnie dostępny, oferowane bezpłatnie i na otwartej licencji, która zapewnia wszystkim prawo do wolnego dostępu do niego, używania go, modyfikowania i redystrybucji;

49)

„odzyskanie produktu” oznacza odzyskanie produktu zgodnie z definicją w art. 3 pkt 22 rozporządzenia (UE) 2019/1020;

50)

„wycofanie z obrotu” oznacza wycofanie z obrotu zgodnie z definicją w art. 3 pkt 23 rozporządzenia (UE) 2019/1020;

51)

„CSIRT wyznaczony jako koordynator” oznacza CSIRT wyznaczony na koordynatora zgodnie z art. 12 ust. 1 dyrektywy (UE) 2022/2555.

Artykuł 4

Swobodny przepływ

Państwa członkowskie nie utrudniają – w odniesieniu do spraw objętych zakresem niniejszego rozporządzenia – udostępniania na rynku produktów z elementami cyfrowymi zgodnych z niniejszym rozporządzeniem.

Podczas targów, wystaw, pokazów lub podobnych imprez państwa członkowskie nie uniemożliwiają prezentowania ani używania produktu z elementami cyfrowymi, który nie jest zgodny z niniejszym rozporządzeniem, w tym jego prototypów, pod warunkiem że dany produkt ma widoczne oznaczenie, które wskazuje, że nie jest on zgodny z niniejszym rozporządzeniem i nie będzie udostępniany na rynku, zanim nie będzie z nim zgodny.

Państwa członkowskie nie uniemożliwiają udostępniania na rynku nieukończonego oprogramowania, które nie jest zgodne z niniejszym rozporządzeniem, pod warunkiem że oprogramowanie to jest udostępniane jedynie na ograniczony okres wymagany do celów testowania wraz z widocznym oznaczeniem wyraźnie wskazującym, że nie jest ono zgodne z niniejszym rozporządzeniem i nie jest dostępne na rynku do celów innych niż testowanie.

Ust. 3 nie stosuje się do elementów bezpieczeństwa, o których mowa w unijnym prawodawstwie harmonizacyjnym innym niż niniejsze rozporządzenie.

Artykuł 5

Zamawianie lub stosowanie produktów z elementami cyfrowymi

Niniejsze rozporządzenie nie uniemożliwia państwom członkowskim objęcia produktów z elementami cyfrowymi dodatkowymi wymaganiami w zakresie cyberbezpieczeństwa przy zamawianiu lub stosowaniu tych produktów do konkretnych celów, w tym gdy produkty te są zamawiane lub stosowane do celów bezpieczeństwa narodowego lub obronności, pod warunkiem że takie wymagania są zgodne z obowiązkami państw członkowskich określonymi w prawie Unii oraz że są niezbędne i proporcjonalne do osiągnięcia tych celów.

Bez uszczerbku dla dyrektyw 2014/24/UE i 2014/25/UE, jeżeli zamawia się produkty z elementami cyfrowymi objęte zakresem niniejszego rozporządzenia, państwa członkowskie zapewniają, aby w procedurze udzielania zamówień przestrzegano zgodności z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I do niniejszego rozporządzenia, w tym zdolności producentów do skutecznego reagowania na podatności.

Artykuł 6

Wymagania dotyczące produktów z elementami cyfrowymi

Produkty z elementami cyfrowymi udostępnia się na rynku tylko wtedy, gdy:

spełniają one zasadnicze wymagania w zakresie cyberbezpieczeństwa przewidziane w załączniku I część I, pod warunkiem że zostały one prawidłowo zainstalowane oraz są prawidłowo utrzymywane i wykorzystywane zgodnie z ich przeznaczeniem lub w warunkach, które można racjonalnie przewidzieć, a także – w stosownych przypadkach – zainstalowano stosowne aktualizacje zabezpieczeń; oraz

procedury wprowadzone przez producenta są zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II.

Artykuł 7

Ważne produkty z elementami cyfrowymi

Produkty z elementami cyfrowymi, które posiadają podstawową funkcjonalność kategorii produktów określonej w załączniku III, uznaje się za ważne produkty z elementami cyfrowymi i podlegają one procedurom oceny zgodności, o których mowa w art. 32 ust. 2 i 3. Włączenie produktu z elementami cyfrowymi, który posiada podstawową funkcjonalność kategorii produktów określonej w załączniku III, samo w sobie nie powoduje, że produkt, z którym jest on zintegrowany, podlega procedurom oceny zgodności, o których mowa w art. 32 ust. 2 i 3.

Kategorie produktów z elementami cyfrowymi, o których mowa w ust. 1 niniejszego artykułu, podzielone na klasy I i II określone w załączniku III spełniają co najmniej jedno z następujących kryteriów:

produkt z elementami cyfrowymi pełni przede wszystkim funkcje kluczowe dla cyberbezpieczeństwa innych produktów, sieci lub usług, takie jak zabezpieczanie uwierzytelniania i dostępu, zapobieganie włamaniom i ich wykrywanie, ochrona punktów końcowych lub ochrona sieci;

produkt z elementami cyfrowymi pełni funkcję, taką jak funkcja systemu centralnego, w tym zarządzanie siecią, kontrola konfiguracji, wirtualizacja lub przetwarzanie danych osobowych, która wiąże się ze znacznym ryzykiem wystąpienia niekorzystnych skutków pod względem intensywności i zdolności do zakłócenia, kontrolowania lub spowodowania szkód w dużej liczbie innych produktów lub może zaszkodzić zdrowiu, bezpieczeństwu lub ochronie użytkowników poprzez bezpośrednią manipulację.

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 w celu zmiany załącznika III przez uwzględnienie w wykazie nowej kategorii w każdej klasie kategorii produktów z elementami cyfrowymi i określenie ich definicji, przeniesienie kategorii produktów z jednej klasy do drugiej lub usunięcie z tego wykazu istniejącej kategorii. Przy ocenianiu potrzeby zmiany wykazu zawartego w załączniku III Komisja bierze pod uwagę funkcjonalności związane z cyberbezpieczeństwem lub funkcję oraz poziom ryzyka w cyberprzestrzeni, który stwarzają produkty z elementami cyfrowymi, jak określono w kryteriach, o których mowa w ust. 2 niniejszego artykułu.

Akty delegowane, o których mowa w akapicie pierwszym niniejszego ustępu, przewidują w stosownych przypadkach minimalny okres przejściowy wynoszący 12 miesięcy, w szczególności gdy do klasy I lub II dodaje się nową kategorię ważnych produktów z elementami cyfrowymi lub przenosi z klasy I do II, jak określono w załączniku III, przed rozpoczęciem stosowania odpowiednich procedur oceny zgodności, o których mowa w art. 32 ust. 2 i 3, chyba że szczególnie pilna potrzeba uzasadnia skrócenie okresu przejściowego.

Do dnia 11 grudnia 2025 r. Komisja przyjmuje akt wykonawczy zawierający techniczny opis kategorii produktów z elementami cyfrowymi w klasach I i II określonych w załączniku III oraz opis techniczny kategorii produktów z elementami cyfrowymi określonych w załączniku IV. Ten akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

Artykuł 8

Produkty krytyczne z elementami cyfrowymi

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 w celu uzupełnienia niniejszego rozporządzenia i określenia, które produkty z elementami cyfrowymi posiadające podstawową funkcjonalność kategorii produktu określonej w załączniku IV do niniejszego rozporządzenia mają być zobowiązane do uzyskania europejskiego certyfikatu cyberbezpieczeństwa co najmniej na „istotnym” poziomie uzasadnienia zaufania w ramach europejskiego programu certyfikacji cyberbezpieczeństwa przyjętego na podstawie rozporządzenia (UE) 2019/881 w celu wykazania zgodności z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I do niniejszego rozporządzenia lub jego częściach, pod warunkiem że europejski program certyfikacji cyberbezpieczeństwa obejmujący te kategorie produktów z elementami cyfrowymi został przyjęty na podstawie rozporządzenia (UE) 2019/881 i jest on dostępny producentom. W aktach delegowanych określa się wymagany poziom zaufania, który jest proporcjonalny do poziomu ryzyka w cyberprzestrzeni związanego z produktami z elementami cyfrowymi i uwzględnia ich przeznaczenie, w tym krytyczną zależność od nich podmiotów kluczowych, o których mowa w art. 3 ust. 1 dyrektywy (UE) 2022/2555.

Przed przyjęciem aktów delegowanych Komisja ocenia potencjalny wpływ planowanych środków na rynek i przeprowadza konsultacje z odpowiednimi interesariuszami, w tym z Europejską Grupą ds. Certyfikacji Cyberbezpieczeństwa, ustanowionej na mocy rozporządzenia (UE) 2019/881. W ocenie uwzględnia się gotowość i zdolność państw członkowskich do wdrożenia odpowiedniego europejskiego programu certyfikacji cyberbezpieczeństwa. Jeżeli nie przyjęto aktów delegowanych, o których mowa w akapicie pierwszym niniejszego ustępu, produkty z elementami cyfrowymi, które posiadają podstawową funkcjonalność kategorii produktu określonej w załączniku IV, podlegają procedurom oceny zgodności, o których mowa w art. 32 ust. 3.

Akty delegowane, o których mowa w akapicie pierwszym, przewidują co najmniej sześciomiesięczny okres przejściowy, chyba że szczególnie pilna potrzeba uzasadnia jego skrócenie.

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 oraz do wprowadzania zmian w załączniku IV przez dodanie lub usunięcie kategorii produktów krytycznych z elementami cyfrowymi. Określając takie kategorie produktów krytycznych z elementami cyfrowymi i wymagany poziom zaufania, zgodnie z ust. 1 niniejszego artykułu, Komisja bierze pod uwagę kryteria, o których mowa w art. 7 ust. 2, oraz zapewnia, aby kategorie produktów z elementami cyfrowymi spełniały co najmniej jedno z następujących kryteriów:

krytyczną zależność podmiotów kluczowych, o których mowa w art. 3 dyrektywy (UE) 2022/2555 od kategorii produktów z elementami cyfrowymi;

incydenty i wykorzystane podatności dotyczące kategorii produktów z elementami cyfrowymi, które mogą prowadzić do poważnych zakłóceń w krytycznych łańcuchach dostaw na całym rynku wewnętrznym.

Przed przyjęciem aktów delegowanych Komisja przeprowadza ocenę, o której mowa w ust. 1.

Akty delegowane, o których mowa w akapicie pierwszym, przewidują co najmniej sześciomiesięczny okres przejściowy, chyba że szczególnie pilna potrzeba uzasadnia jego skrócenie.

Artykuł 9

Konsultacje z interesariuszami

Przygotowując środki do wdrożenia niniejszego rozporządzenia, Komisja konsultuje się z odpowiednimi interesariuszami, takimi jak właściwe organy państw członkowskich, przedsiębiorstwa sektora prywatnego, w tym mikroprzedsiębiorstwa oraz małe i średnie przedsiębiorstwa, środowiska opracowujące otwarte oprogramowanie, organizacje konsumenckie, środowiska akademickie oraz odpowiednie agencje i organy Unii, a także grupy eksperckie ustanowione na poziomie unijnym, oraz bierze pod uwagę ich opinie. W stosownych przypadkach Komisja konsultuje się z interesariuszami i zasięga ich opinii w ustrukturyzowany sposób, w przypadku gdy:

przygotowuje wytyczne, o których mowa w art. 26;

przygotowuje opisy techniczne kategorii produktów określonych w załączniku III zgodnie z art. 7 ust. 4, ocenia konieczność ewentualnych aktualizacji wykazu kategorii produktów zgodnie z art. 7 ust. 3 i art. 8 ust. 2 lub ocenia potencjalny wpływ na rynek, o którym mowa w art. 8 ust. 1, bez uszczerbku dla art. 61;

przygotowuje się do oceny i przeglądu niniejszego rozporządzenia.

Co najmniej raz w roku Komisja organizuje regularne konsultacje i sesje informacyjne, aby poznać opinie interesariuszy, o których mowa w ust. 1, na temat wdrażania niniejszego rozporządzenia.

Artykuł 10

Doskonalenie umiejętności w cyberodpornym środowisku cyfrowym

Do celów niniejszego rozporządzenia oraz aby odpowiedzieć na potrzeby specjalistów we wspomaganiu wdrażania niniejszego rozporządzenia, państwa członkowskie, w stosownych przypadkach przy wsparciu Komisji, Europejskiego Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa i ENISA, przy pełnym poszanowaniu odpowiedzialności państw członkowskich w dziedzinie edukacji, propagują środki i strategie mające na celu:

rozwijanie umiejętności w zakresie cyberbezpieczeństwa oraz tworzenie narzędzi organizacyjnych i technologicznych w celu zapewnienia wystarczającej dostępności wykwalifikowanych specjalistów do wspierania działań organów nadzoru rynku i jednostek oceniających zgodność;

zacieśnienie współpracy między sektorem prywatnym, podmiotami gospodarczymi – w tym poprzez przekwalifikowanie lub podniesienie kwalifikacji pracowników producentów – konsumentami, dostawcami usług szkoleniowych oraz administracjami publicznymi, zwiększając tym samym możliwości dostępu młodych ludzi do miejsc pracy w sektorze cyberbezpieczeństwa.

Artykuł 11

Ogólne bezpieczeństwo produktów

Na zasadzie odstępstwa od art. 2 ust. 1 akapit trzeci lit. b) rozporządzenia (UE) 2023/988 rozdział III sekcja 1, rozdziały V i VII oraz rozdziały IX–XI tego rozporządzenia stosuje się do produktów z elementami cyfrowymi w odniesieniu do aspektów i zagrożeń lub kategorii zagrożeń nieobjętych niniejszym rozporządzeniem, jeżeli produkty te nie podlegają szczegółowym wymaganiom bezpieczeństwa określonym w innym „unijnym prawodawstwie harmonizacyjnym” zdefiniowanym w art. 3 pkt 27 rozporządzenia (UE) 2023/988.

Artykuł 12

Systemy sztucznej inteligencji wysokiego ryzyka

Bez uszczerbku dla wymagań dotyczących dokładności i solidności określonych w art. 15 rozporządzenia (UE) 2024/1689 produkty z elementami cyfrowymi, które wchodzą w zakres niniejszego rozporządzenia i są sklasyfikowane jako systemy sztucznej inteligencji wysokiego ryzyka zgodnie z art. 6 tego rozporządzenia, uznaje się za spełniające wymagania w zakresie cyberbezpieczeństwa określone w art. 15 tego rozporządzenia, jeżeli:

produkty te spełniają zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część I;

procedury wprowadzone przez producenta są zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II; oraz

osiągnięcie poziomu ochrony cyberbezpieczeństwa wymaganego na mocy art. 15 rozporządzenia (UE) 2024/1689 [zostało wykazane w deklaracji zgodności UE wydanej na mocy niniejszego rozporządzenia.

W przypadku produktów z elementami cyfrowymi i wymaganiami w zakresie cyberbezpieczeństwa, o których mowa w ust. 1 niniejszego artykułu, stosuje się odpowiednią procedurę oceny zgodności przewidzianą w art. 43 rozporządzenia (UE) 2024/1689. Do celów tej oceny jednostki notyfikowane, które są właściwe do kontroli zgodności systemów sztucznej inteligencji wysokiego ryzyka zgodnie z rozporządzeniem (UE) 2024/1689, są również właściwe do kontroli zgodności systemów sztucznej inteligencji wysokiego ryzyka objętych zakresem niniejszego rozporządzenia z wymaganiami określonymi w załączniku I do niniejszego rozporządzenia, pod warunkiem że zgodność tych jednostek notyfikowanych z wymaganiami określonymi w art. 39 niniejszego rozporządzenia oceniono w kontekście procedury notyfikacyjnej zgodnie z rozporządzeniem (UE) 2024/1689.

Na zasadzie odstępstwa od ust. 2 niniejszego artykułu ważne produkty z elementami cyfrowymi wymienione w załączniku III do niniejszego rozporządzenia, które podlegają procedurom oceny zgodności, o których mowa w art. 32 ust. 2 lit. a) i b) oraz art. 32 ust. 3 niniejszego rozporządzenia, oraz produkty krytyczne z elementami cyfrowymi wymienione w załączniku IV do niniejszego rozporządzenia, które muszą uzyskać europejski certyfikat cyberbezpieczeństwa zgodnie z art. 8 ust. 1 niniejszego rozporządzenia lub które w przypadku jego braku podlegają procedurom oceny zgodności, o których mowa w art. 32 ust. 3 niniejszego rozporządzenia, i które są również sklasyfikowane jako systemy sztucznej inteligencji wysokiego ryzyka na mocy art. 6 rozporządzenia (UE) 2024/1689 i do których stosuje się procedurę oceny zgodności opierającą się na kontroli wewnętrznej, o której mowa w załączniku VI do rozporządzenia (UE) 2024/1689, podlegają procedurom oceny zgodności ustanowionym w niniejszym rozporządzeniu w zakresie, w jakim dotyczy to zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w niniejszym rozporządzeniu.

Producenci produktów z elementami cyfrowymi, o których mowa w ust. 1 niniejszego artykułu, mogą uczestniczyć w piaskownicach regulacyjnych w zakresie sztucznej inteligencji, o których mowa w art. 57 rozporządzenia (UE) 2024/1689.

ROZDZIAŁ II

OBOWIĄZKI PODMIOTÓW GOSPODARCZYCH I PRZEPISY DOTYCZĄCE WOLNEGO I OTWARTEGO OPROGRAMOWANIA

Artykuł 13

Obowiązki producentów

Wprowadzając produkt z elementami cyfrowymi do obrotu, producenci zapewniają, aby został on zaprojektowany, opracowany i wyprodukowany zgodnie z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I.

W celu zapewnienia zgodności z ust. 1, producenci przeprowadzają ocenę ryzyka w cyberprzestrzeni związanego z produktem z elementami cyfrowymi i uwzględniają wynik tej oceny na etapie planowania, projektowania, opracowywania, produkcji, dostarczania i utrzymania produktu z elementami cyfrowymi w celu zminimalizowania ryzyka w cyberprzestrzeni, zapobiegania incydentom i zminimalizowania ich skutków, w tym w odniesieniu do zdrowia i bezpieczeństwa użytkowników.

Ocena ryzyka w cyberprzestrzeni jest odpowiednio dokumentowana i aktualizowana w okresie wsparcia, który zostanie określony zgodnie z ust. 8 niniejszego artykułu. Ta ocena ryzyka w cyberprzestrzeni obejmuje co najmniej analizę ryzyka w cyberprzestrzeni w oparciu o przeznaczenie i racjonalnie przewidywalne wykorzystanie, a także warunki użytkowania produktu z elementami cyfrowymi, takie jak środowisko operacyjne lub aktywa, które mają być chronione, z uwzględnieniem oczekiwanego czasu użytkowania produktu. W ocenie ryzyka w cyberprzestrzeni wskazuje się, czy i w jaki sposób wymogi bezpieczeństwa określone w załączniku I część I pkt 2 stosują się do danego produktu z elementami cyfrowymi oraz w jaki sposób wymagania te są wdrażane zgodnie z oceną ryzyka w cyberprzestrzeni. Wskazuje się w niej również to, w jaki sposób producent ma stosować załącznik I część I pkt 1, oraz wymagania dotyczące postępowania w przypadku wykrycia podatności określone w załączniku I część II.

Wprowadzając produkt z elementami cyfrowymi do obrotu, producent włącza ocenę ryzyka w cyberprzestrzeni, o której mowa w ust. 3 niniejszego artykułu, do dokumentacji technicznej wymaganej na mocy art. 31 i załącznika VII. W przypadku produktów z elementami cyfrowymi, o których mowa w art. 12, podlegających również innym aktom prawnym Unii, ocena ryzyka w cyberprzestrzeni może być częścią oceny ryzyka wymaganej na podstawie tych odpowiednich aktów prawnych Unii. Jeżeli niektóre zasadnicze wymagania w zakresie cyberbezpieczeństwa nie mają zastosowania do produktu z elementami cyfrowymi, producent zamieszcza w tej dokumentacji technicznej wyraźne uzasadnienie.

W celu wypełnienia obowiązku określonego w ust. 1 producenci dokładają należytej staranności przy integrowaniu z produktami z elementami cyfrowymi komponentów pochodzących od stron trzecich, aby komponenty takie nie naruszały cyberbezpieczeństwa produktu z elementami cyfrowymi, w tym w przypadku zintegrowania komponentów wolnego i otwartego oprogramowania, które nie zostały udostępnione na rynku w ramach działalności komercyjnej.

Producenci, po zidentyfikowaniu podatności w komponencie, w tym w komponencie otwartego oprogramowania, który jest zintegrowany z produktem z elementami cyfrowymi, zgłaszają podatność osobie lub podmiotowi produkującemu lub utrzymującemu komponent oraz usuwają i naprawiają podatność zgodnie z wymogami dotyczącymi postępowania w przypadku wykrycia podatności określonymi w załączniku I część II. W przypadku gdy producenci opracowali modyfikację oprogramowania lub sprzętu komputerowego w celu wyeliminowania podatności w komponencie, udostępniają oni odpowiedni kod lub dokumentację osobie lub podmiotowi produkującemu lub utrzymującemu komponent, w stosownych przypadkach w formacie nadającym się do odczytu maszynowego.

Producenci systematycznie dokumentują, w sposób proporcjonalny do charakteru i ryzyka w cyberprzestrzeni, istotne aspekty cyberbezpieczeństwa dotyczące produktu z elementami cyfrowymi, w tym podatności, o których się dowiedzieli, oraz wszelkie istotne informacje przekazane przez strony trzecie, a także, w stosownych przypadkach, aktualizują ocenę ryzyka w cyberprzestrzeni produktów.

Przy wprowadzaniu produktu z elementami cyfrowymi do obrotu oraz przez okres wsparcia, producenci zapewniają skuteczne i zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II postępowanie w przypadku wykrycia podatności tego produktu lub jego komponentów.

Producenci określają okres wsparcia w taki sposób, aby odzwierciedlał on długość okresu, w którym produkt ma być użytkowany, biorąc pod uwagę w szczególności uzasadnione oczekiwania użytkowników, charakter produktu, w tym jego przeznaczenie, a także odpowiednie prawo Unii określające cykl życia produktów z elementami cyfrowymi. Przy określaniu okresu wsparcia producenci mogą również uwzględnić okresy wsparcia produktów z elementami cyfrowymi oferujących podobną funkcjonalność i wprowadzanych do obrotu przez innych producentów, dostępność środowiska operacyjnego, okresy wsparcia zintegrowanych komponentów, które zapewniają podstawowe funkcje i są pozyskiwane od stron trzecich, a także odpowiednie wytyczne przedstawione przez specjalną grupę współpracy administracyjnej (grupę ADCO) ustanowioną na mocy art. 52 ust. 15 i Komisję. Kwestie, które należy uwzględnić w celu określenia długości okresu wsparcia, rozpatruje się w sposób zapewniający proporcjonalność.

Bez uszczerbku dla akapitu drugiego okres wsparcia wynosi co najmniej pięć lat. Jeżeli oczekuje się, że produkt z elementami cyfrowymi będzie użytkowany krócej niż pięć lat, okres wsparcia odpowiada przewidywanemu czasowi użytkowania.

Uwzględniając zalecenia grupy ADCO, o których mowa w art. 52 ust. 16, Komisja może przyjmować akty delegowane zgodnie z art. 61 w celu uzupełnienia niniejszego rozporządzenia poprzez wyznaczenie minimalnego okresu wsparcia dla określonych kategorii produktów, w przypadku gdy dane z nadzoru rynku sugerują nieodpowiednie okresy wsparcia.

Producenci przedstawiają informacje, które uwzględniono przy określaniu okresu wsparcia produktu z elementami cyfrowymi, w dokumentacji technicznej określonej w załączniku VII.

Producenci muszą posiadać odpowiednią politykę i stosowne procedury, w tym politykę regulującą skoordynowane ujawnianie podatności, o której mowa w załączniku I część II pkt 5, do celów przetwarzania i eliminowania potencjalnych podatności produktu z elementami cyfrowymi, zgłoszonych przez źródła wewnętrzne lub zewnętrzne.

Producenci zapewniają, by każda aktualizacja zabezpieczeń, o której mowa w załączniku I część II pkt 8 i która została udostępniona użytkownikom w okresie wsparcia, była nadal dostępna po jej wydaniu przez okres co najmniej 10 lat lub przez pozostałą część okresu wsparcia, w zależności od tego, który z tych okresów jest dłuższy.

10.

W przypadku gdy producent wprowadził do obrotu kolejne istotnie zmodyfikowane wersje oprogramowania, może zapewnić zgodność z zasadniczym wymaganiem w zakresie cyberbezpieczeństwa określonym w załączniku I część II pkt 2 wyłącznie w odniesieniu do wersji ostatnio wprowadzonej przez siebie do obrotu, pod warunkiem że użytkownicy wersji uprzednio wprowadzonych do obrotu mają bezpłatny dostęp do wersji ostatnio wprowadzonej do obrotu i nie ponoszą dodatkowych kosztów związanych z dostosowaniem sprzętu i oprogramowania, dzięki którym korzystają z pierwotnej wersji tego produktu.

11.

Producenci mogą prowadzić publiczne archiwa oprogramowania usprawniające dostęp użytkowników do wersji historycznych. W takich przypadkach użytkownicy są wyraźnie i w łatwo dostępny sposób informowani o ryzyku związanym ze stosowaniem niewspieranego oprogramowania.

12.

Przed wprowadzeniem produktu z elementami cyfrowymi do obrotu producenci sporządzają dokumentację techniczną, o której mowa w art. 31.

Producenci przeprowadzają wybrane procedury oceny zgodności, o których mowa w art. 32, lub zlecają ich przeprowadzenie.

W przypadku wykazania zgodności produktu z elementami cyfrowymi z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I oraz zgodności procedur wprowadzonych przez producenta z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II w wyniku przeprowadzenia takiej procedury oceny zgodności producenci sporządzają deklarację zgodności UE zgodnie z art. 28 i umieszczają oznakowanie zgodności CE zgodnie z art. 30.

13.

Producenci przechowują dokumentację techniczną i deklarację zgodności UE do dyspozycji organów nadzoru rynku przez okres co najmniej 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy.

14.

Producenci zapewniają wprowadzenie procedur mających na celu utrzymanie zgodności z niniejszym rozporządzeniem produktów z elementami cyfrowymi, które są częścią serii produkcyjnej. Producenci odpowiednio uwzględniają zmiany w procesie rozwoju i produkcji lub w projekcie lub właściwościach produktu z elementami cyfrowymi oraz zmiany w normach zharmonizowanych, europejskich programach certyfikacji cyberbezpieczeństwa lub wspólnych specyfikacjach, o których mowa w art. 27, w odniesieniu do których deklaruje się zgodność produktu z elementami cyfrowymi lub przez stosowanie których weryfikuje się jego zgodność.

15.

Producenci zapewniają, by ich produkty z elementami cyfrowymi były opatrzone numerem typu, partii lub numerem seryjnym bądź innym elementem umożliwiającym ich identyfikację, a w przypadku gdy nie jest to możliwe, by informacje te były umieszczone na ich opakowaniu lub w dokumencie dołączonym do produktu z elementami cyfrowymi.

16.

Na produkcie z elementami cyfrowymi, na jego opakowaniu lub w dokumencie dołączonym do produktu z elementami cyfrowymi producenci podają nazwę, zarejestrowaną nazwę handlową lub zarejestrowany znak towarowy producenta oraz adres pocztowy, adres e-mail lub inne cyfrowe dane kontaktowe, a także, w stosownych przypadkach, stronę internetową, dzięki którym można skontaktować się z producentem. Informacje te należy również zawrzeć w informacjach i instrukcjach dla użytkowników określonych w załączniku II. Dane kontaktowe podaje się w języku łatwo zrozumiałym dla użytkowników i organów nadzoru rynku.

17.

Do celów niniejszego rozporządzenia producenci wyznaczają pojedynczy punkt kontaktowy, aby umożliwić użytkownikom bezpośrednią i szybką komunikację z nimi, w tym w celu ułatwienia zgłaszania podatności produktu z elementami cyfrowymi.

Producenci zapewniają, aby pojedynczy punkt kontaktowy był łatwo rozpoznawalny dla użytkowników. Umieszczają oni również pojedynczy punkt kontaktowy w informacjach i instrukcjach dla użytkowników określonych w załączniku II.

Pojedynczy punkt kontaktowy umożliwia użytkownikom wybór preferowanych środków komunikacji i nie ogranicza tych środków do narzędzi zautomatyzowanych.

18.

Producenci zapewniają, aby do produktów z elementami cyfrowymi dołączano informacje i instrukcje dla użytkowników określone w załączniku II, w postaci elektronicznej lub papierowej. Takie informacje i instrukcje podaje się w języku łatwo zrozumiałym dla użytkowników i organów nadzoru rynku. Muszą być one jasne, zrozumiałe, przystępne i czytelne. Umożliwiają one bezpieczną instalację, obsługę i bezpieczne użytkowanie produktów z elementami cyfrowymi. Producenci przechowują informacje i instrukcje dla użytkowników określone w załączniku II do dyspozycji użytkowników i organów nadzoru rynku przez okres co najmniej 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy. W przypadku gdy takie informacje i instrukcje są udostępniane online, producenci zapewniają, by były one dostępne, przyjazne dla użytkownika i udostępniane w internecie przez okres co najmniej 10 lat od wprowadzenia produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy.

19.

Producenci zapewniają, by w momencie zakupu data zakończenia okresu wsparcia, o którym mowa w ust. 8, obejmująca co najmniej miesiąc i rok, była jasno i zrozumiale określona w łatwo dostępny sposób oraz, w stosownych przypadkach, na produkcie z elementami cyfrowymi, na jego opakowaniu lub za pomocą środków cyfrowych.

Jeżeli jest to technicznie wykonalne ze względu na charakter produktu z elementami cyfrowymi, producenci wyświetlają użytkownikom powiadomienie informujące ich, że zakończył się okres wsparcia ich produktu z elementami cyfrowymi.

20.

Producenci dołączają do produktu z elementami cyfrowymi albo deklarację zgodności UE, albo uproszczoną deklarację zgodności UE. Jeżeli dostarcza się uproszczoną deklarację zgodności UE, musi ona zawierać dokładny adres strony internetowej, na której jest dostępna pełna deklaracja zgodności UE.

21.

Od chwili wprowadzenia do obrotu i przez okres wsparcia producenci, którzy wiedzą lub mają powody, by sądzić, że produkt z elementami cyfrowymi lub procedury wprowadzone przez producenta nie są zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I, niezwłocznie wprowadzają środki naprawcze niezbędne do zapewnienia zgodności tego produktu z elementami cyfrowymi lub procedur producenta lub do wycofania produktu z obrotu lub odzyskania go, w stosownych przypadkach.

22.

Na uzasadniony wniosek organu nadzoru rynku producenci przekazują temu organowi, w łatwo zrozumiałym dla tego organu języku, wszelkie informacje i dokumentację – w formie papierowej lub elektronicznej – niezbędne do wykazania zgodności produktu z elementami cyfrowymi i procedur wprowadzonych przez producenta z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I. Na żądanie tego organu producenci współpracują z nim w zakresie wszelkich środków wprowadzonych w celu wyeliminowania ryzyka w cyberprzestrzeni, jakie stwarza produkt z elementami cyfrowymi wprowadzony przez nich do obrotu.

23.

Producent, który zaprzestaje działalności i w rezultacie nie jest w stanie zapewnić zgodności z niniejszym rozporządzeniem, informuje o nieuchronnym zaprzestaniu działalności przed zaprzestaniem tej działalności odpowiednie organy nadzoru rynku, a także, za pomocą wszelkich dostępnych środków i w możliwie jak najszerszym zakresie, użytkowników odpowiednich produktów z elementami cyfrowymi wprowadzonych do obrotu.

24.

Komisja może – w drodze aktów wykonawczych uwzględniających europejskie lub międzynarodowe normy i najlepsze praktyki – określić format i elementy zestawienia podstawowych materiałów do produkcji oprogramowania, o którym mowa w załączniku I część II pkt 1. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

25.

Aby ocenić zależność państw członkowskich i całej Unii od komponentów oprogramowania, a w szczególności od komponentów kwalifikujących się jako wolne i otwarte oprogramowanie, grupa ADCO może podjąć decyzję o przeprowadzeniu ogólnounijnej oceny zależności w odniesieniu do określonych kategorii produktów z elementami cyfrowymi. W tym celu organy nadzoru rynku mogą zwrócić się do producentów takich kategorii produktów z elementami cyfrowymi o udostępnienie odpowiednich zestawień podstawowych materiałów do produkcji oprogramowania, o których mowa w załączniku I część II pkt 1. Na podstawie takich informacji organy nadzoru rynku mogą przekazywać grupie ADCO zanonimizowane i zagregowane informacje na temat zależności od oprogramowania. Grupa ADCO przedkłada Grupie Współpracy, ustanowionej na mocy art. 14 dyrektywy (UE) 2022/2555, sprawozdanie z wyników tej oceny zależności.

Artykuł 14

Obowiązki producentów w zakresie zgłaszania

Producent jednocześnie zgłasza jakiekolwiek aktywnie wykorzystywane podatności zawarte w produkcie z elementami cyfrowymi, o których się dowiedział, CSIRT-owi wyznaczonemu na koordynatora zgodnie z ust. 7 niniejszego artykułu oraz ENISA. Producent zgłasza aktywnie wykorzystywaną podatność za pośrednictwem pojedynczej platformy sprawozdawczej ustanowionej na podstawie art. 16.

Do celów zgłoszenia, o którym mowa w ust. 1, producent przedkłada:

wczesne ostrzeżenie o aktywnie wykorzystywanej podatności, bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od momentu, w którym producent się o niej dowiedział, ze wskazaniem, w stosownych przypadkach, państw członkowskich, o których producent wie, że na ich terytorium został udostępniony jego produkt z elementami cyfrowymi;

o ile odpowiednie informacje nie zostały już przekazane, zgłoszenie podatności, bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od momentu, w którym producent dowiedział się o aktywnie wykorzystywanej podatności, z podaniem ogólnych informacji dostępnych na temat danego produktu z elementami cyfrowymi, ogólnego charakteru wykorzystania i danej podatności, a także wszelkich podjętych środków naprawczych lub łagodzących, a także środków naprawczych lub łagodzących, które mogą podjąć użytkownicy, a także ze wskazaniem, w stosownych przypadkach, w jakim stopniu producent uznaje zgłoszone informacje za szczególnie chronione;

o ile odpowiednie informacje nie zostały już przekazane, sprawozdanie końcowe, nie później niż 14 dni po udostępnieniu środka naprawczego lub łagodzącego, zawierające co najmniej następujące informacje:

(i)

opis podatności, w tym jej dotkliwości i skutków;

(ii)

jeżeli są dostępne, informacje dotyczące każdego podmiotu działającego w złym zamiarze, który wykorzystał lub wykorzystuje podatność;

(iii)

szczegółowe informacje dotyczące aktualizacji zabezpieczeń lub innych środków naprawczych, które zostały udostępnione w celu eliminacji podatności.

Producent jednocześnie zgłasza każdy poważny incydent mający wpływ na bezpieczeństwo produktu z elementami cyfrowymi, o którym się dowie, CSIRT-owi wyznaczonemu na koordynatora zgodnie z ust. 7 niniejszego artykułu oraz ENISA. Producent zgłasza taki incydent za pośrednictwem pojedynczej platformy sprawozdawczej ustanowionej na podstawie art. 16.

Do celów zgłoszenia, o którym mowa w ust. 3, producent przedkłada:

wczesne ostrzeżenie o poważnym incydencie mającym wpływ na bezpieczeństwo produktu z elementami cyfrowymi, bez zbędnej zwłoki, a w każdym razie w ciągu 24 godzin od momentu, w którym producent się o nim dowiedział, obejmujące co najmniej informacje, czy istnieją podejrzenia, że poważny incydent został spowodowany działaniem bezprawnym lub działaniem dokonanym w złym zamiarze, ze wskazaniem również, w stosownych przypadkach, państw członkowskich, o których producent wie, że na ich terytorium udostępniono jego produkt z elementami cyfrowymi;

o ile odpowiednie informacje nie zostały już przekazane, zgłoszenie incydentu, bez zbędnej zwłoki, a w każdym razie w ciągu 72 godzin od momentu, w którym producent dowiedział się o incydencie, w którym to zgłoszeniu podaje się ogólne informacje, jeżeli są dostępne, na temat rodzaju incydentu, a także wszelkie podjęte środki naprawcze lub łagodzące, a także środki naprawcze lub łagodzące, które mogą podjąć użytkownicy, a także wskazuje, w stosownych przypadkach, w jakim stopniu producent uznaje zgłoszone informacje za szczególnie chronione;

o ile odpowiednie informacje nie zostały już przekazane, sprawozdanie końcowe – w terminie jednego miesiąca od zgłoszenia incydentu zgodnie z lit. b), zawierające co najmniej następujące elementy:

(i)

szczegółowy opis incydentu, w tym jego dotkliwości i skutków;

(ii)

rodzaj zagrożenia lub pierwotną przyczynę, która prawdopodobnie była źródłem incydentu;

(iii)

zastosowane i bieżące środki ograniczające ryzyko.

Do celów ust. 3 incydent mający wpływ na bezpieczeństwo produktu z elementami cyfrowymi uznaje się za poważny, jeżeli:

negatywnie wpływa on lub może mieć negatywny wpływ na zdolność produktu z elementami cyfrowymi do ochrony dostępności, autentyczności, integralności lub poufności wrażliwych lub ważnych danych lub funkcji; lub

prowadził on lub może prowadzić do wprowadzenia lub uruchomienia kodu złośliwego w produkcie z elementami cyfrowymi lub w sieci i systemach informatycznych użytkownika produktu z elementami cyfrowymi.

W razie potrzeby CSIRT wyznaczony na koordynatora, który jako pierwszy otrzymał zgłoszenie, może zwrócić się do producentów o przedstawienie sprawozdania okresowego na temat odpowiednich aktualizacji statusu aktywnie wykorzystywanej podatności lub poważnego incydentu mających wpływ na bezpieczeństwo produktu z elementami cyfrowymi.

Zgłoszenia, o których mowa w ust. 1 i 3 niniejszego artykułu, przekazuje się za pośrednictwem pojedynczej platformy sprawozdawczej, o której mowa w art. 16, z wykorzystaniem jednego z punktów zgłoszeń elektronicznych, o których mowa w art. 16 ust. 1. Zgłoszenie składa się z wykorzystaniem punktu zgłoszeń elektronicznych CSIRT wyznaczonego na koordynatora tego państwa członkowskiego, w którym producenci mają główną siedzibę w Unii, i jest ono jednocześnie dostępne dla ENISA.

Do celów niniejszego rozporządzenia uznaje się, że producent ma główną siedzibę w Unii w tym państwie członkowskim, w którym głównie podejmowane są decyzje związane z cyberbezpieczeństwem jego produktów z elementami cyfrowymi. Jeżeli nie można ustalić takiego państwa członkowskiego, uznaje się, że główna siedziba znajduje się w państwie członkowskim, w którym dany producent ma siedzibę o największej liczbie pracowników w Unii.

W przypadku gdy producent nie ma głównej siedziby w Unii, dokonuje on zgłoszeń, o których mowa w ust. 1 i 3, z wykorzystaniem punktu zgłoszeń elektronicznych CSIRT wyznaczonego na koordynatora w państwie członkowskim określonym zgodnie z następującą kolejnością i na podstawie informacji dostępnych producentowi:

państwo członkowskie, w którym ma siedzibę upoważniony przedstawiciel działający w imieniu producenta w odniesieniu do największej liczby produktów z elementami cyfrowymi tego producenta;

państwo członkowskie, w którym ma siedzibę importer wprowadzający do obrotu największą liczbę produktów z elementami cyfrowymi tego producenta;

państwo członkowskie, w którym ma siedzibę dystrybutor udostępniający na rynku największą liczbę produktów z elementami cyfrowymi tego producenta;

państwo członkowskie, w którym znajduje się największa liczba użytkowników produktów z elementami cyfrowymi tego producenta.

W odniesieniu do akapitu trzeciego lit. d) producent może przekazywać zgłoszenia dotyczące wszelkich późniejszych aktywnie wykorzystywanych podatności lub poważnego incydentu mających wpływ na bezpieczeństwo produktu z elementami cyfrowymi temu samemu CSIRT-owi wyznaczonemu na koordynatora, któremu uprzednio przekazał zgłoszenie.

Po otrzymaniu informacji o wystąpieniu aktywnie wykorzystywanej podatności lub poważnego incydentu mającego wpływ na bezpieczeństwo produktu z elementami cyfrowymi producent informuje użytkowników produktu z elementami cyfrowymi, na których incydent ma wpływ, oraz, w stosownych przypadkach, wszystkich użytkowników o tej podatności lub tym incydencie oraz, w razie potrzeby, o środkach łagodzących oraz wszelkich środkach naprawczych, które użytkownicy mogą wdrożyć w celu złagodzenia skutków tej podatności lub incydentu, w stosownych przypadkach w ustrukturyzowanym i łatwo przetwarzalnym automatycznie formacie nadającym się do odczytu maszynowego. Jeżeli producent nie poinformuje użytkowników produktu z elementami cyfrowymi w odpowiednim czasie, CSIRT-y wyznaczone na koordynatorów, do których dotarło zgłoszenie, mogą przekazać takie informacje użytkownikom, jeżeli zostanie to uznane za proporcjonalne i konieczne do zapobieżenia skutkom tej podatności lub incydentu lub łagodzenia ich skutków.

Do dnia 11 grudnia 2025 r. Komisja przyjmuje akty delegowane zgodnie z art. 61 niniejszego rozporządzenia w celu uzupełnienia niniejszego rozporządzenia poprzez określenie warunków zastosowania względów cyberbezpieczeństwa w odniesieniu do opóźniania rozpowszechniania zgłoszeń, o których mowa w art. 16 ust. 2 niniejszego rozporządzenia. Przy przygotowywaniu projektu tych aktów delegowanych Komisja współpracuje z siecią CSIRT, ustanowioną na podstawie art. 15 dyrektywy (UE) 2022/2555, oraz z ENISA.

10.

Komisja może, w drodze aktów wykonawczych, doprecyzować format i procedurę składania zgłoszeń, o których mowa w niniejszym artykule oraz w art. 15 i 16. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2. Komisja współpracuje z siecią CSIRT oraz z ENISA przy przygotowywaniu tych projektów aktów wykonawczych.

Artykuł 15

Dobrowolne zgłaszanie

Producenci oraz inne osoby fizyczne lub prawne mogą dobrowolnie zgłaszać CSIRT-owi wyznaczonemu na koordynatora lub ENISA wszelkie podatności zawarte w produkcie z elementami cyfrowymi, a także cyberzagrożenia, które mogłyby mieć wpływ na profil ryzyka produktu z elementami cyfrowymi.

Producenci oraz inne osoby fizyczne lub prawne mogą dobrowolnie zgłaszać CSIRT-owi wyznaczonemu na koordynatora lub ENISA każdy incydent mający wpływ na bezpieczeństwo produktu z elementami cyfrowymi, a także potencjalne zdarzenia dla cyberbezpieczeństwa, które mogły doprowadzić do takiego incydentu.

CSIRT wyznaczony na koordynatora lub ENISA rozpatrują zgłoszenia, o których mowa w ust. 1 i 2 niniejszego artykułu, zgodnie z procedurą określoną w art. 16.

CSIRT wyznaczony na koordynatora może rozpatrywać zgłoszenia obowiązkowe priorytetowo w stosunku do zgłoszeń dobrowolnych.

W przypadku gdy osoba fizyczna lub prawna inna niż producent zgłasza aktywnie wykorzystywaną podatność lub poważny incydent mający wpływ na bezpieczeństwo produktu z elementami cyfrowymi zgodnie z ust. 1 lub 2, CSIRT wyznaczony na koordynatora bez zbędnej zwłoki informuje o tym producenta.

CSIRT-y wyznaczone na koordynatorów oraz ENISA zapewniają poufność i odpowiednią ochronę informacji przekazanych przez osobę fizyczną lub prawną dokonującą zgłoszenia. Bez uszczerbku dla zapobiegania przestępstwom, prowadzenia postępowań w ich sprawie, ich wykrywania i ścigania dobrowolne zgłaszanie nie może powodować nałożenia na osobę fizyczną lub prawną dokonującą zgłoszenia żadnych dodatkowych obowiązków, którym by nie podlegała, gdyby nie przekazała zgłoszenia.

Artykuł 16

Ustanowienie pojedynczej platformy sprawozdawczej

Do celów zgłoszeń, o których mowa w art. 14 ust. 1 i 3 oraz art. 15 ust. 1 i 2, oraz w celu uproszczenia obowiązków sprawozdawczych producentów ENISA ustanawia pojedynczą platformę sprawozdawczą. ENISA zarządza bieżącą działalnością tej pojedynczej platformy sprawozdawczej i utrzymuje ją. Architektura pojedynczej platformy sprawozdawczej umożliwia państwom członkowskim i ENISA wprowadzenie własnych punktów zgłoszeń elektronicznych.

Po otrzymaniu zgłoszenia CSIRT wyznaczony na koordynatora, który jako pierwszy otrzymał zgłoszenie, niezwłocznie przekazuje je za pośrednictwem pojedynczej platformy sprawozdawczej do CSIRT-ów wyznaczonych na koordynatorów na terytorium, na którym producent wskazał, że produkt z elementami cyfrowymi został udostępniony.

W wyjątkowych okolicznościach, w szczególności na wniosek producenta i w świetle poziomu wrażliwości zgłoszonych informacji wskazanego przez producenta zgodnie z art. 14 ust. 2 lit. a) niniejszego rozporządzenia, rozpowszechnienie zgłoszenia może zostać opóźnione z uzasadnionych przyczyn związanych z cyberbezpieczeństwem o absolutnie niezbędny okres, w tym w przypadku gdy podatność podlega skoordynowanej procedurze ujawniania, o której mowa w art. 12 ust. 1 dyrektywy (UE) 2022/2555. W przypadku gdy CSIRT podejmie decyzję o nieujawnianiu zgłoszenia, niezwłocznie informuje ENISA o tej decyzji i przedstawia zarówno uzasadnienie nieujawnienia zgłoszenia, jak i wskazanie, kiedy rozpowszechni zgłoszenie zgodnie z procedurą rozpowszechniania określoną w niniejszym ustępie. ENISA może poprzeć stanowisko CSIRT-u dotyczące zastosowania względów cyberbezpieczeństwa w odniesieniu do opóźnienia rozpowszechnienia zgłoszenia.

W szczególnie wyjątkowych okolicznościach, jeżeli producent wskazuje w zgłoszeniu, o którym mowa w art. 14 ust. 2 lit. b):

że zgłoszona podatność została aktywnie wykorzystana przez podmiot działający w złym zamiarze i, zgodnie z dostępnymi informacjami, nie została wykorzystana w żadnym innym państwie członkowskim niż to, którego CSIRT wyznaczono na koordynatora i któremu producent zgłosił podatność;

że jakiekolwiek natychmiastowe dalsze rozpowszechnienie zgłoszonej podatności prawdopodobnie doprowadziłoby do dostarczenia informacji, których ujawnienie byłoby sprzeczne z podstawowymi interesami tego państwa członkowskiego; lub

że dalsze rozpowszechnianie zgłoszenia podatności stwarza bezpośrednie wysokie ryzyko w cyberprzestrzeni;

jedynie informacje o tym, że producent dokonał zgłoszenia, ogólne informacje na temat produktu, informacje o ogólnym charakterze wykorzystania oraz informacje o tym, że powołano się na względy bezpieczeństwa, są jednocześnie udostępniane ENISA, aż do momentu rozpowszechnienia pełnego zgłoszenia wśród zainteresowanych CSIRT-ów i ENISA. Jeżeli na podstawie tych informacji ENISA uzna, że istnieje ryzyko systemowe mające wpływ na bezpieczeństwo na rynku wewnętrznym, zaleca CSIRT-owi, który otrzymał zgłoszenie, aby przekazał pełne zgłoszenie pozostałym CSIRT-om wyznaczonym na koordynatorów oraz samej ENISA.

Po otrzymaniu zgłoszenia o aktywnie wykorzystywanej podatności w produkcie z elementami cyfrowymi lub o poważnym incydencie mającym wpływ na bezpieczeństwo produktu z elementami cyfrowymi CSIRT-y wyznaczone na koordynatorów przekazują organom nadzoru rynku swoich państw członkowskich zgłoszone informacje niezbędne organom nadzoru rynku do wypełniania ich obowiązków wynikających z niniejszego rozporządzenia.

ENISA przyjmuje odpowiednie i proporcjonalne środki techniczne, operacyjne i organizacyjne w celu zarządzania ryzykiem dla bezpieczeństwa pojedynczej platformy sprawozdawczej oraz informacji przekazywanych lub rozpowszechnianych za pośrednictwem pojedynczej platformy sprawozdawczej. ENISA bez zbędnej zwłoki powiadamia sieć CSIRT oraz Komisję o każdym incydencie bezpieczeństwa mającym wpływ na pojedynczą platformę sprawozdawczą.

ENISA, we współpracy z siecią CSIRT, zapewnia i wdraża specyfikacje dotyczące środków technicznych, operacyjnych i organizacyjnych dotyczących ustanowienia, utrzymania i bezpiecznego funkcjonowania pojedynczej platformy sprawozdawczej, o której mowa w ust. 1, w tym co najmniej ustalenia dotyczące bezpieczeństwa związane z ustanowieniem, funkcjonowaniem i utrzymaniem pojedynczej platformy sprawozdawczej, a także punktów zgłoszeń elektronicznych ustanowionych przez CSIRT-y wyznaczone na koordynatorów na poziomie krajowym i ENISA na poziomie Unii, w tym aspektów proceduralnych mających zapewnić, że w przypadku gdy dla zgłoszonej podatności nie ma dostępnych środków naprawczych lub łagodzących, informacje o tej podatności będą udostępniane zgodnie ze ścisłymi protokołami bezpieczeństwa i na zasadzie ograniczonego dostępu.

W przypadku gdy CSIRT wyznaczony na koordynatora został powiadomiony o aktywnie wykorzystywanej podatności w ramach procedury skoordynowanego ujawniania podatności, o której mowa w art. 12 ust. 1 dyrektywy (UE) 2022/2555, CSIRT wyznaczony na koordynatora, który jako pierwszy otrzymał zgłoszenie, może opóźnić rozpowszechnienie stosownego zgłoszenia za pośrednictwem pojedynczej platformy sprawozdawczej z uzasadnionych względów cyberbezpieczeństwa o okres nie dłuższy niż jest to absolutnie niezbędne i do czasu wyrażenia zgody na ujawnienie przez strony zaangażowane w skoordynowane ujawnienie podatności. Wymóg ten nie uniemożliwia producentom dobrowolnego zgłaszania takiej podatności zgodnie z procedurą określoną w niniejszym artykule.

Artykuł 17

Inne przepisy dotyczące sprawozdawczości

ENISA może przekazać europejskiej sieci organizacji łącznikowych do spraw kryzysów cyberbezpieczeństwa (EU-CyCLONe) ustanowionej na mocy art. 16 dyrektywy (UE) 2022/2555 informacje zgłoszone zgodnie z art. 14 ust. 1 i 3 oraz art. 15 ust. 1 i 2 niniejszego rozporządzenia, jeżeli takie informacje są istotne z perspektywy skoordynowanego zarządzania cyberincydentami i cyberkryzysami na dużą skalę na szczeblu operacyjnym. Do celów określenia takiej istotności ENISA może uwzględnić analizy techniczne przeprowadzone przez sieć CSIRT, jeżeli są one dostępne.

W przypadku gdy świadomość społeczna jest niezbędna, aby zapobiec poważnemu incydentowi mającemu wpływ na bezpieczeństwo produktu z elementami cyfrowymi lub złagodzić jego skutki, lub aby poradzić sobie z trwającym incydentem, lub w przypadku gdy ujawnienie incydentu leży w interesie publicznym, CSIRT wyznaczony na koordynatora odpowiedniego państwa członkowskiego może, po konsultacji z zainteresowanym producentem i, w stosownych przypadkach, we współpracy z ENISA, poinformować opinię publiczną o incydencie lub zażądać tego od producenta.

ENISA, na podstawie zgłoszeń otrzymywanych zgodnie z art. 14 ust. 1 i 3 oraz art. 15 ust. 1 i 2 niniejszego rozporządzenia, przygotowuje co 24 miesiące sprawozdanie techniczne na temat pojawiających się tendencji w zakresie ryzyka w cyberprzestrzeni dotyczącego produktów z elementami cyfrowymi oraz przedkłada je Grupie Współpracy ustanowionej na podstawie art. 14 dyrektywy (UE) 2022/2555. Pierwsze takie sprawozdanie przedkłada się w terminie 24 miesięcy od dnia rozpoczęcia stosowania obowiązków określonych w art. 14 ust. 1 i 3. W sprawozdaniu o stanie cyberbezpieczeństwa w Unii sporządzanym na podstawie art. 18 dyrektywy (UE) 2022/2555 ENISA uwzględnia odpowiednie informacje ze swoich sprawozdań technicznych.

Samo zgłoszenie zgodnie z art. 14 ust. 1 i 3 lub art. 15 ust. 1 i 2 nie powoduje zwiększenia odpowiedzialności osoby fizycznej lub prawnej dokonującej zgłoszenia.

Po udostępnieniu aktualizacji zabezpieczeń lub innej formy środka naprawczego lub łagodzącego ENISA, w porozumieniu z producentem danego produktu z elementami cyfrowymi, dodaje publicznie znaną podatność, zgłoszoną zgodnie z art. 14 ust. 1 lub art. 15 ust. 1 niniejszego rozporządzenia, do europejskiej bazy danych dotyczących podatności ustanowionej zgodnie z art. 12 ust. 2 dyrektywy (UE) 2022/2555.

CSIRT-y wyznaczone na koordynatorów zapewniają producentom, a w szczególności producentom, którzy kwalifikują się jako mikroprzedsiębiorstwa lub małe lub średnie przedsiębiorstwa, wsparcie działu pomocy technicznej w odniesieniu do obowiązków sprawozdawczych zgodnie z art. 14.

Artykuł 18

Upoważnieni przedstawiciele

Producent może, w drodze pisemnego pełnomocnictwa, wyznaczyć upoważnionego przedstawiciela.

Obowiązki określone w art. 13 ust. 1–11, art. 13 ust. 12 akapit pierwszy oraz art. 13 ust. 14 nie wchodzą w zakres pełnomocnictwa upoważnionego przedstawiciela.

Upoważniony przedstawiciel wykonuje zadania określone w pełnomocnictwie otrzymanym od producenta. Upoważniony przedstawiciel na żądanie organów nadzoru rynku przedstawia im kopię swojego pełnomocnictwa. Pełnomocnictwo umożliwia upoważnionemu przedstawicielowi wykonywanie co najmniej następujących obowiązków:

przechowywanie deklaracji zgodności UE, o której mowa w art. 28, oraz dokumentacji technicznej, o której mowa w art. 31, do dyspozycji organów nadzoru rynku przez okres co najmniej 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy;

przekazywanie na uzasadniony wniosek organu nadzoru rynku wszelkich informacji i dokumentów niezbędnych do wykazania zgodności produktu z elementami cyfrowymi z wymogami;

na wniosek organów nadzoru rynku podejmowanie z nimi współpracy w działaniach mających na celu na wyeliminowanie ryzyka, jakie stwarza produkt z elementami cyfrowymi objęty pełnomocnictwem upoważnionego przedstawiciela.

Artykuł 19

Obowiązki importerów

Importerzy wprowadzają do obrotu wyłącznie produkty z elementami cyfrowymi, które spełniają zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część I i w przypadku których procedury wprowadzone przez producenta są zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II.

Przed wprowadzeniem produktu z elementami cyfrowymi do obrotu importerzy zapewniają, aby:

producent przeprowadził odpowiednie procedury oceny zgodności, o których mowa w art. 32;

producent sporządził dokumentację techniczną;

produkt z elementami cyfrowymi nosił oznakowanie CE, o którym mowa w art. 30, oraz by towarzyszyła mu deklaracja zgodności UE, o której mowa w art. 13 ust. 20, oraz informacje i instrukcje dla użytkownika określone w załączniku II, w języku łatwo zrozumiałym dla użytkowników i organów nadzoru rynku;

producent spełnił wymogi określone w art. 13 ust. 15, 16 i 19.

Do celów niniejszego ustępu importerzy muszą być w stanie przedstawić niezbędne dokumenty potwierdzające spełnienie wymogów określonych w niniejszym artykule.

W przypadku gdy importer uznaje lub ma powody, by uważać, że produkt z elementami cyfrowymi lub procedury wprowadzone przez producenta nie są zgodne z niniejszym rozporządzeniem, nie wprowadza produktu do obrotu, dopóki nie zostanie zapewniona zgodność tego produktu lub tych procedur wprowadzonych przez producenta z niniejszym rozporządzeniem. Ponadto, jeżeli produkt z elementami cyfrowymi stwarza znaczne ryzyko w cyberprzestrzeni, importer informuje o tym producenta oraz organy nadzoru rynku.

W przypadku gdy importer ma powody sądzić, że produkt z elementami cyfrowymi może stwarzać istotne ryzyko w cyberprzestrzeni w kontekście pozatechnicznych czynników ryzyka, importer informuje o tym organy nadzoru rynku. Po otrzymaniu takich informacji organy nadzoru rynku postępują zgodnie z procedurami, o których mowa w art. 54 ust. 2.

Importerzy umieszczają na produkcie z elementami cyfrowymi lub na opakowaniu produktu z elementami cyfrowymi lub w załączonym do niego dokumencie swoje imię i nazwisko lub nazwę, zarejestrowaną nazwę handlową lub zarejestrowany znak towarowy, adres pocztowy, adres e-mail lub inną cyfrową formę kontaktu, a także, w stosownych przypadkach, stronę internetową, za pośrednictwem których można się z nimi skontaktować. Dane kontaktowe podaje się w języku łatwo zrozumiałym dla użytkowników i organów nadzoru rynku.

Importerzy, którzy wiedzą lub mają powody sądzić, że wprowadzony przez nich na rynek produkt z elementami cyfrowymi nie jest zgodny z niniejszym rozporządzeniem, niezwłocznie wprowadzają środki naprawcze niezbędne do zapewnienia zgodności produktu z elementami cyfrowymi z niniejszym rozporządzeniem lub do wycofania produktu z obrotu, lub odzyskania go, w stosownych przypadkach.

Po uzyskaniu informacji o podatności produktu z elementami cyfrowymi importerzy bez zbędnej zwłoki informują producenta o tej podatności. Ponadto, w przypadku gdy produkt z elementami cyfrowymi stwarza istotne ryzyko w cyberprzestrzeni, importerzy niezwłocznie informują o tym organy nadzoru rynku państw członkowskich, w których produkt z elementami cyfrowymi udostępniono na rynku, podając szczegółowe informacje, w szczególności na temat niezgodności oraz wszelkich wprowadzonych środków naprawczych.

Importerzy przechowują kopię deklaracji zgodności UE do dyspozycji organów nadzoru rynku przez co najmniej 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy, i na wniosek tych organów udostępniają im dokumentację techniczną.

Na uzasadniony wniosek organu nadzoru rynku importerzy przekazują mu wszelkie informacje i dokumentację – w formie papierowej lub elektronicznej – niezbędne do wykazania zgodności produktu z elementami cyfrowymi z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I, a także zgodności procedur wprowadzonych przez producenta z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część II, w języku łatwo zrozumiałym dla tego organu. Na wniosek tego organu importerzy współpracują z nim w zakresie wszelkich środków wprowadzonych w celu usunięcia ryzyka w cyberprzestrzeni, jakie stwarza produkt z elementami cyfrowymi wprowadzony przez nich do obrotu.

W przypadku gdy importer produktu z elementami cyfrowymi dowiaduje się, że producent tego produktu zaprzestał działalności i w związku z tym nie jest w stanie wypełnić obowiązków określonych w niniejszym rozporządzeniu, importer informuje o tej sytuacji odpowiednie organy nadzoru rynku, a także, za pomocą wszelkich dostępnych środków i w możliwie jak najszerszym zakresie, użytkowników produktów z elementami cyfrowymi wprowadzonych do obrotu.

Artykuł 20

Obowiązki dystrybutorów

Udostępniając produkt z elementami cyfrowymi na rynku, dystrybutorzy działają z należytą starannością w odniesieniu do wymogów określonych w niniejszym rozporządzeniu.

Przed udostępnieniem produktu z elementami cyfrowymi na rynku dystrybutorzy sprawdzają, czy:

produkt z elementami cyfrowymi jest opatrzony oznakowaniem CE;

producent i importer wypełnili obowiązki określone w art. 13 ust. 15, 16, 18, 19 i 20 oraz art. 19 ust. 4 i dostarczyli dystrybutorowi wszystkie niezbędne dokumenty.

W przypadku gdy na podstawie posiadanych informacji dystrybutor uznaje lub ma powody sądzić, że produkt z elementami cyfrowymi lub procedury wprowadzone przez producenta nie są zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I, nie udostępnia on produktu z elementami cyfrowymi na rynku, dopóki nie zostanie zapewniona zgodność tego produktu lub tych procedur wprowadzonych przez producenta z niniejszym rozporządzeniem. Ponadto, jeżeli produkt z elementami cyfrowymi stwarza istotne ryzyko w cyberprzestrzeni, dystrybutor bez zbędnej zwłoki informuje o tym producenta oraz organy nadzoru rynku.

Dystrybutorzy, którzy na podstawie posiadanych informacji wiedzą lub mają powody sądzić, że udostępniony przez nich na rynku produkt z elementami cyfrowymi lub procedury wprowadzone przez producenta nie są zgodne z niniejszym rozporządzeniem, zapewniają wprowadzenie środków naprawczych niezbędnych do zapewnienia zgodności produktu z elementami cyfrowymi lub procedur wprowadzonych przez producenta lub do wycofania produktu z obrotu, lub odzyskania go, w stosownych przypadkach.

Po uzyskaniu informacji o podatności produktu z elementami cyfrowymi dystrybutorzy bez zbędnej zwłoki informują producenta o tej podatności. Ponadto, w przypadku gdy produkt z elementami cyfrowymi stwarza istotne ryzyko w cyberprzestrzeni, dystrybutorzy niezwłocznie informują o tym organy nadzoru rynku państw członkowskich, w których produkt z elementami cyfrowymi udostępniono na rynku, podając szczegółowe informacje, w szczególności na temat niezgodności oraz wszelkich wprowadzonych środków naprawczych.

Na uzasadniony wniosek organu nadzoru rynku dystrybutorzy przekazują mu wszelkie informacje i dokumentację – w formie papierowej lub elektronicznej – niezbędne do wykazania zgodności produktu z elementami cyfrowymi i procedur wprowadzonych przez jego producenta z niniejszym rozporządzeniem w języku łatwo zrozumiałym dla tego organu. Na wniosek tego organu dystrybutorzy współpracują z nim w zakresie wszelkich środków wprowadzonych w celu usunięcia ryzyka w cyberprzestrzeni, jakie stwarza produkt z elementami cyfrowymi udostępniony przez nich na rynku.

W przypadku gdy dystrybutor produktu z elementami cyfrowymi na podstawie posiadanych informacji dowiaduje się, że producent tego produktu zaprzestał działalności i w związku z tym nie jest w stanie wypełnić obowiązków określonych w niniejszym rozporządzeniu, dystrybutor bez zbędnej zwłoki informuje o tej sytuacji odpowiednie organy nadzoru rynku, a także, za pomocą wszelkich dostępnych środków i w możliwie jak najszerszym zakresie, użytkowników produktów z elementami cyfrowymi wprowadzonych do obrotu.

Artykuł 21

Przypadki, w których obowiązki producentów mają zastosowanie do importerów i dystrybutorów

Importer lub dystrybutor uważany jest za producenta do celów niniejszego rozporządzenia i podlega on art. 13 i 14, jeżeli ten importer lub dystrybutor wprowadza produkt z elementami cyfrowymi do obrotu pod własną nazwą lub znakiem towarowym albo dokonuje istotnej modyfikacji produktu z elementami cyfrowymi już wprowadzonego do obrotu.

Artykuł 22

Inne przypadki, w których mają zastosowanie obowiązki producentów

Osoba fizyczna lub prawna – inna niż producent, importer lub dystrybutor – która dokonuje istotnej modyfikacji produktu z elementami cyfrowymi i udostępnia ten produkt na rynku, uważana jest za producenta do celów niniejszego rozporządzenia.

Osoba, o której mowa w ust. 1 niniejszego artykułu, podlega obowiązkom określonym w art. 13 i 14 w odniesieniu do części produktu z elementami cyfrowymi poddanej istotnej modyfikacji lub – jeżeli taka istotna modyfikacja ma wpływ na cyberbezpieczeństwo produktu z elementami cyfrowymi jako całości – w odniesieniu do całego produktu.

Artykuł 23

Identyfikacja podmiotów gospodarczych

Na wniosek organów nadzoru rynku podmioty gospodarcze przekazują tym organom następujące informacje:

imię i nazwisko lub nazwę i adres każdego podmiotu gospodarczego, który dostarczył im produkt z elementami cyfrowymi;

o ile są dostępne – imię i nazwisko lub nazwę i adres każdego podmiotu gospodarczego, któremu dostarczyły produkt z elementami cyfrowymi.

Podmioty gospodarcze muszą być w stanie przedstawić informacje, o których mowa w ust. 1, przez 10 lat od dostarczenia im produktu z elementami cyfrowymi oraz przez 10 lat od dostarczenia przez nie produktu z elementami cyfrowymi.

Artykuł 24

Obowiązki opiekunów otwartego oprogramowania

Opiekunowie otwartego oprogramowania wprowadzają i dokumentują w weryfikowalny sposób politykę cyberbezpieczeństwa w celu wspierania rozwoju bezpiecznego produktu z elementami cyfrowymi, a także skutecznego radzenia sobie z podatnościami przez twórców tego produktu. Polityka ta wspiera również dobrowolne zgłaszanie podatności zgodnie z art. 15 przez twórców tego produktu i uwzględnia szczególny charakter opiekuna otwartego oprogramowania oraz ustalenia prawne i organizacyjne, którym on podlega. Polityka ta obejmuje w szczególności aspekty związane z dokumentowaniem, rozwiązywaniem i eliminowaniem podatności oraz promowaniem udostępniania informacji dotyczących wykrytych podatności w ramach społeczności zajmujących się otwartym oprogramowaniem.

Opiekunowie otwartego oprogramowania współpracują z organami nadzoru rynku, na ich wniosek, w celu ograniczenia ryzyka w cyberprzestrzeni stwarzanego przez produkt z elementami cyfrowymi kwalifikujący się jako wolne i otwarte oprogramowanie.

Na uzasadniony wniosek organu nadzoru rynku opiekunowie otwartego oprogramowania dostarczają temu organowi, w języku łatwo zrozumiałym dla tego organu, dokumentację, o której mowa w ust. 1, w formie papierowej lub elektronicznej.

Obowiązki określone w art. 14 ust. 1 stosuje się do opiekunów otwartego oprogramowania w zakresie, w jakim są oni zaangażowani w rozwój produktów z elementami cyfrowymi. Obowiązki określone w art. 14 ust. 3 i 8 stosuje się do opiekunów otwartego oprogramowania w zakresie, w jakim poważne incydenty mające wpływ na bezpieczeństwo produktów z elementami cyfrowymi dotyczą sieci i systemów informatycznych dostarczonych przez opiekunów otwartego oprogramowania w celu rozwoju takich produktów.

Artykuł 25

Poświadczanie bezpieczeństwa wolnego i otwartego oprogramowania

W celu ułatwienia wypełniania obowiązku należytej staranności określonego w art. 13 ust. 5, w szczególności w odniesieniu do producentów, którzy włączają do swoich produktów z elementami cyfrowymi komponenty wolnego i otwartego oprogramowania, Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 w celu uzupełnienia niniejszego rozporządzenia poprzez ustanowienie dobrowolnych programów poświadczania bezpieczeństwa umożliwiających twórcom lub użytkownikom produktów z elementami cyfrowymi kwalifikujących się jako wolne i otwarte oprogramowanie, a także innym stronom trzecim ocenę zgodności takich produktów ze wszystkimi lub niektórymi zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa lub innymi obowiązkami określonymi w niniejszym rozporządzeniu.

Artykuł 26

Wytyczne

Aby ułatwić wdrożenie i zapewnić jego spójność, Komisja publikuje wytyczne, aby pomóc podmiotom gospodarczym w stosowaniu niniejszego rozporządzenia, ze szczególnym naciskiem na ułatwienie zachowania zgodności mikroprzedsiębiorstwom oraz małym i średnim przedsiębiorstwom.

W przypadku gdy Komisja zamierza przedstawić wytyczne, o których mowa w ust. 1, zajmuje się ona co najmniej następującymi aspektami:

zakres niniejszego rozporządzenia, ze szczególnym uwzględnieniem rozwiązań w zakresie zdalnego przetwarzania danych oraz wolnego i otwartego oprogramowania;

stosowanie okresów wsparcia w odniesieniu do poszczególnych kategorii produktów z elementami cyfrowymi;

wytyczne skierowane do producentów podlegających niniejszemu rozporządzeniu, którzy podlegają również unijnemu prawodawstwu harmonizacyjnemu innemu niż niniejsze rozporządzenie lub innym powiązanym aktom prawnym Unii;

pojęcie istotnej modyfikacji.

Komisja prowadzi również łatwo dostępny wykaz aktów delegowanych i wykonawczych przyjętych na podstawie niniejszego rozporządzenia.

Przy sporządzaniu wytycznych zgodnie z niniejszym artykułem Komisja konsultuje się z odpowiednimi zainteresowanymi stronami.

ROZDZIAŁ III

ZGODNOŚĆ PRODUKTU Z ELEMENTAMI CYFROWYMI

Artykuł 27

Domniemanie zgodności

W przypadku produktów z elementami cyfrowymi i procedur wprowadzonych przez producenta spełniających normy zharmonizowane lub części norm zharmonizowanych, do których odniesienie opublikowano w Dzienniku Urzędowym Unii Europejskiej, domniemywa się, że spełniają one zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I objęte tymi normami lub ich częściami.

Komisja, zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012, zwraca się do jednej lub kilku europejskich organizacji normalizacyjnych z wnioskiem o przygotowanie norm zharmonizowanych dotyczących zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I do niniejszego rozporządzenia. Sporządzając wnioski o normalizację na potrzeby niniejszego rozporządzenia, Komisja stara się uwzględnić istniejące europejskie i międzynarodowe normy w dziedzinie cyberbezpieczeństwa, które są już dostępne lub w trakcie opracowywania, aby uprościć opracowanie norm zharmonizowanych zgodnie z rozporządzeniem (UE) nr 1025/2012.

Komisja może przyjmować akty wykonawcze ustanawiające wspólne specyfikacje obejmujące wymogi techniczne, które zapewniają środki umożliwiające spełnienie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I w odniesieniu do produktów z elementami cyfrowymi objętych zakresem stosowania niniejszego rozporządzenia.

Te akty wykonawcze przyjmuje się wyłącznie wtedy, jeżeli spełnione są następujące warunki:

zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012 Komisja zwróciła się do co najmniej jednej europejskiej organizacji normalizacyjnej z wnioskiem o przygotowanie zharmonizowanej normy dotyczącej zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I oraz:

(i)

wniosek ten nie został zaakceptowany;

(ii)

normy zharmonizowane stanowiące odpowiedź na ten wniosek nie zostały dostarczone w terminie określonym zgodnie z art. 10 ust. 1 rozporządzenia (UE) nr 1025/2012; lub

(iii)

normy zharmonizowane nie są zgodne z wnioskiem; oraz

w Dzienniku Urzędowym Unii Europejskiej nie opublikowano żadnego odniesienia do zharmonizowanych norm obejmujących odnośne zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I do niniejszego rozporządzenia zgodnie z rozporządzeniem (UE) nr 1025/2012 i nie przewiduje się opublikowania takiego odniesienia w rozsądnym terminie.

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

Przed przygotowaniem projektu aktu wykonawczego określonego w ust. 2 niniejszego artykułu Komisja informuje komitet, o którym mowa w art. 22 rozporządzenia (UE) nr 1025/2012, że uznaje warunki określone w ust. 2 niniejszego artykułu za spełnione.

Przygotowując projekt aktu wykonawczego, o którym mowa w ust. 2, Komisja uwzględnia opinie odpowiednich organów i należycie konsultuje się ze wszystkimi odpowiednimi zainteresowanymi stronami.

Produkty z elementami cyfrowymi i procedury wprowadzone przez producenta, zgodne ze wspólnymi specyfikacjami ustanowionymi aktami wykonawczymi, o których mowa w ust. 2 niniejszego artykułu, lub ich częściami, uznaje się za spełniające zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I objęte tymi wspólnymi specyfikacjami lub ich częściami.

W przypadku gdy norma zharmonizowana zostaje przyjęta przez europejską organizację normalizacyjną i zaproponowana Komisji w celu opublikowania odniesienia do niej w Dzienniku Urzędowym Unii Europejskiej, Komisja ocenia normę zharmonizowaną zgodnie z rozporządzeniem (UE) nr 1025/2012. W przypadku opublikowania odniesienia do normy zharmonizowanej w Dzienniku Urzędowym Unii Europejskiej Komisja uchyla akty wykonawcze, o których mowa w ust. 2 niniejszego artykułu, lub ich części, które obejmują zasadnicze wymagania w zakresie cyberbezpieczeństwa takie same jak objęte tą normą zharmonizowaną.

Jeżeli państwo członkowskie uzna, że wspólna specyfikacja nie spełnia całkowicie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I, informuje o tym Komisję, przedstawiając szczegółowe wyjaśnienie. Komisja ocenia to szczegółowe wyjaśnienie i w stosownych przypadkach może zmienić akt wykonawczy ustanawiający daną wspólną specyfikację.

Domniemywa się, że produkty z elementami cyfrowymi i procedury wprowadzone przez producenta, w odniesieniu do których wydano unijną deklarację zgodności lub certyfikat w ramach europejskiego programu certyfikacji cyberbezpieczeństwa przyjętego zgodnie z rozporządzeniem (UE) 2019/881, są zgodne z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I w zakresie, w jakim unijna deklaracja zgodności lub europejski certyfikat cyberbezpieczeństwa, lub ich części, obejmują te wymogi.

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 niniejszego rozporządzenia w celu uzupełnienia niniejszego rozporządzenia poprzez określenie europejskich programów certyfikacji cyberbezpieczeństwa przyjętych na podstawie rozporządzenia (UE) 2019/881, które mogą być stosowane do wykazania zgodności produktów z elementami cyfrowymi z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa lub ich częściami określonymi w załączniku I do niniejszego rozporządzenia. Ponadto wydanie europejskiego certyfikatu cyberbezpieczeństwa wydanego w ramach takich programów, przynajmniej na „istotnym” poziomie uzasadnienia zaufania, zwalnia producenta z obowiązku przeprowadzenia oceny zgodności przez stronę trzecią w odniesieniu do odpowiednich wymogów, jak określono w art. 32 ust. 2 lit. a) i b) oraz art. 32 ust. 3 lit. a) i b) niniejszego rozporządzenia.

Artykuł 28

Deklaracja zgodności UE

Deklarację zgodności UE sporządzają producenci zgodnie z art. 13 ust. 12 i potwierdza się w niej, że wykazano spełnienie mających zastosowanie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I.

Deklarację zgodności UE sporządza się według wzoru określonego w załączniku V i zawiera ona elementy wyszczególnione w odpowiednich procedurach oceny zgodności określonych w załączniku VIII. Taka deklaracja jest w stosownych przypadkach aktualizowana. Deklarację udostępnia się w językach wymaganych przez państwo członkowskie, w którym produkt z elementami cyfrowymi jest wprowadzany do obrotu lub udostępniany na rynku.

Uproszczona deklaracja zgodności UE, o której mowa w art. 13 ust. 20, zawiera wzór określony w załączniku VI. Deklarację udostępnia się w językach wymaganych przez państwo członkowskie, w którym produkt z elementami cyfrowymi jest wprowadzany do obrotu lub udostępniany na rynku.

W przypadku gdy produkt z elementami cyfrowymi podlega więcej niż jednemu aktowi prawnemu Unii wymagającemu deklaracji zgodności UE, sporządzana jest jedna deklaracja zgodności UE odnosząca się do wszystkich takich aktów prawnych Unii. W takiej deklaracji wskazuje się odpowiednie akty prawne Unii, łącznie z ich adresami publikacyjnymi.

Przez sporządzenie deklaracji zgodności UE producent przyjmuje na siebie odpowiedzialność za zgodność produktu z elementami cyfrowymi.

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 w celu uzupełnienia niniejszego rozporządzenia przez dodanie elementów do minimalnego zakresu treści deklaracji zgodności UE określonego w załączniku V, aby uwzględnić rozwój technologiczny.

Artykuł 29

Ogólne zasady dotyczące oznakowania CE

Oznakowanie CE podlega ogólnym zasadom określonym w art. 30 rozporządzenia (WE) nr 765/2008.

Artykuł 30

Reguły i warunki dotyczące umieszczania oznakowania CE

Oznakowanie CE umieszcza się na produkcie z elementami cyfrowymi w sposób widoczny, czytelny i trwały. W przypadku gdy jest to niemożliwe lub nieuzasadnione ze względu na charakter produktu z elementami cyfrowymi, oznakowanie CE umieszcza się na opakowaniu i deklaracji zgodności UE, o której mowa w art. 28, dołączonej do produktu z elementami cyfrowymi. W przypadku produktów z elementami cyfrowymi w formie oprogramowania oznakowanie CE umieszcza się na deklaracji zgodności UE, o której mowa w art. 28, albo na stronie internetowej poświęconej oprogramowaniu. W drugim z tych przypadków odpowiednia sekcja strony internetowej jest łatwo i bezpośrednio dostępna dla konsumentów.

Ze względu na charakter produktu z elementami cyfrowymi wysokość oznakowania CE umieszczonego na produkcie z elementami cyfrowymi może być mniejsza niż 5 mm, pod warunkiem że pozostaje ono widoczne i czytelne.

Oznakowanie CE umieszcza się przed wprowadzeniem produktu z elementami cyfrowymi do obrotu. Po oznakowaniu CE można umieścić piktogram lub innego rodzaju oznakowanie wskazujące na szczególne ryzyko w cyberprzestrzeni lub zastosowanie określone w aktach wykonawczych, o których mowa w ust. 6.

Po oznakowaniu CE podaje się numer identyfikacyjny jednostki notyfikowanej, jeżeli jednostka ta jest zaangażowana w procedurę oceny zgodności opartą na pełnym zapewnieniu jakości (zgodnie z modułem H), o której mowa w art. 32.

Numer identyfikacyjny jednostki notyfikowanej umieszcza sama jednostka lub producent albo jego upoważniony przedstawiciel według wskazówek jednostki notyfikowanej.

Państwa członkowskie korzystają z istniejących mechanizmów, aby zapewnić prawidłowe stosowanie systemu oznakowania CE, oraz podejmują odpowiednie działania w przypadku jego niewłaściwego wykorzystania. W przypadku gdy produkt z elementami cyfrowymi podlega unijnemu prawodawstwu harmonizacyjnemu innemu niż niniejsze rozporządzenie, w którym również przewiduje się umieszczenie oznakowania CE, oznakowanie to wskazuje, że produkt spełnia również wymogi określone w takim innym unijnym prawie harmonizacyjnym.

Komisja może – w drodze aktów wykonawczych – ustanowić specyfikacje techniczne etykiet, piktogramów lub wszelkich innych oznakowań związanych z bezpieczeństwem produktów z elementami cyfrowymi, okresy wsparcia oraz mechanizmy zachęcające do ich stosowania oraz zwiększające świadomość społeczną na temat bezpieczeństwa produktów z elementami cyfrowymi. Przygotowując projekty aktów wykonawczych, Komisja konsultuje się z odpowiednimi zainteresowanymi stronami oraz z grupą ADCO, jeżeli już ją ustanowiono zgodnie z art. 52 ust. 15. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

Artykuł 31

Dokumentacja techniczna

Dokumentacja techniczna zawiera wszelkie istotne dane lub informacje szczegółowe dotyczące środków zastosowanych przez producenta w celu zapewnienia, aby produkt z elementami cyfrowymi oraz procedury wprowadzone przez producenta spełniały zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I. Zawiera ona co najmniej elementy określone w załączniku VII.

Dokumentację techniczną sporządza się przed wprowadzeniem do obrotu produktu z elementami cyfrowymi i – w razie potrzeby – jest ona stale aktualizowana, przynajmniej podczas okresu wsparcia.

W przypadku produktów z elementami cyfrowymi, o których mowa w art. 12, które podlegają również innym aktom prawnym Unii przewidującym dokumentację techniczną, sporządza się jedną dokumentację techniczną zawierającą informacje, o których mowa w załączniku VII, oraz informacje wymagane w tych aktach prawnych Unii.

Dokumentację techniczną i korespondencję odnoszącą się do procedury oceny zgodności sporządza się w języku urzędowym państwa członkowskiego, w którym ustanowiona jest jednostka notyfikowana, lub w języku możliwym do przyjęcia przez tę jednostkę.

Komisja jest uprawniona do przyjmowania aktów delegowanych zgodnie z art. 61 w celu uzupełnienia niniejszego rozporządzenia poprzez dodanie elementów, które należy włączyć do dokumentacji technicznej określonej w załączniku VII, aby uwzględnić rozwój technologiczny, jak również o zmiany napotkane w procesie wdrażania niniejszego rozporządzenia. W tym celu Komisja dąży do zapewnienia współmierności obciążeń administracyjnych nakładanych na mikroprzedsiębiorstwa oraz małe i średnie przedsiębiorstwa.

Artykuł 32

Procedury oceny zgodności dotyczące produktów z elementami cyfrowymi

Producent dokonuje oceny zgodności produktu z elementami cyfrowymi i procedur wprowadzonych przez producenta w celu ustalenia, czy spełniono zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I. Producent wykazuje zgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa, stosując dowolną z następujących procedur:

procedurę kontroli wewnętrznej (zgodnie z modułem A) określoną w załączniku VIII;

procedurę badania typu UE (zgodnie z modułem B) określoną w załączniku VIII, po której następuje badanie zgodności z typem UE w oparciu o wewnętrzną kontrolę produkcji (zgodnie z modułem C) określoną w załączniku VIII;

ocenę zgodności opartą na pełnym zapewnieniu jakości (zgodnie z modułem H) określoną w załączniku VIII; lub

o ile jest dostępny i ma zastosowanie – europejski program certyfikacji cyberbezpieczeństwa zgodnie z art. 27 ust. 9.

Jeżeli przy ocenie zgodności ważnego produktu z elementami cyfrowymi należącego do klasy I, jak określono w załączniku III, oraz procedur wprowadzonych przez jego producenta z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I producent nie zastosował norm zharmonizowanych, wspólnych specyfikacji lub europejskich programów certyfikacji cyberbezpieczeństwa przynajmniej na „istotnym” poziomie uzasadnienia zaufania, o których mowa w art. 27, lub zastosował je tylko częściowo, bądź jeżeli takie normy zharmonizowane, wspólne specyfikacje lub europejskie programy certyfikacji cyberbezpieczeństwa nie istnieją, dany produkt z elementami cyfrowymi i procedury wprowadzone przez producenta podlegają w odniesieniu do tych zasadniczych wymagań w zakresie cyberbezpieczeństwa jednej z następujących procedur:

procedurze badania typu UE (zgodnie z modułem B) określonej w załączniku VIII, po której następuje badanie zgodności z typem UE w oparciu o wewnętrzną kontrolę produkcji (zgodnie z modułem C) określoną w załączniku VIII; lub

ocenie zgodności opartej na pełnym zapewnieniu jakości (zgodnie z modułem H) określonej w załączniku VIII.

Jeżeli produkt jest ważnym produktem z elementami cyfrowymi należącym do klasy II, jak określono w załączniku III, producent wykazuje zgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I, stosując dowolną z następujących procedur:

ocenę zgodności opartą na pełnym zapewnieniu jakości (zgodnie z modułem H) określoną w załączniku VIII; lub

jeżeli jest dostępny i ma zastosowanie – europejski program certyfikacji cyberbezpieczeństwa zgodnie z art. 27 ust. 9 niniejszego rozporządzenia przynajmniej na „istotnym” poziomie uzasadnienia zaufania zgodnie z rozporządzeniem (UE) 2019/881.

Produkty krytyczne z elementami cyfrowymi wymienione w załączniku IV wykazują zgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I za pomocą jednej z następujących procedur:

europejski program certyfikacji cyberbezpieczeństwa zgodnie z art. 8 ust. 1; lub

w przypadku gdy warunki określone w art. 8 ust. 1 nie są spełnione, którejkolwiek z procedur, o których mowa w ust. 3 niniejszego artykułu.

Producenci produktów z elementami cyfrowymi kwalifikujących się jako wolne i otwarte oprogramowanie, które należą do kategorii określonych w załączniku III, są zdolni do wykazania zgodności z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I za pomocą jednej z procedur, o których mowa w ust. 1 niniejszego artykułu, pod warunkiem że dokumentacja techniczna, o której mowa w art. 31, jest publicznie dostępna w momencie wprowadzania tych produktów do obrotu.

Przy ustalaniu opłat za procedury oceny zgodności uwzględnia się szczególne interesy i potrzeby mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw, w tym przedsiębiorstw typu start-up, i obniża się te opłaty proporcjonalnie do ich szczególnych interesów i potrzeb.

Artykuł 33

Środki wsparcia dla mikroprzedsiębiorstw małych i średnich przedsiębiorstw, w tym przedsiębiorstw typu start-up

W stosownych przypadkach państwa członkowskie podejmują następujące działania dostosowane do potrzeb mikroprzedsiębiorstw i małych przedsiębiorstw:

organizują specjalne działania uświadamiające i szkoleniowe dotyczące stosowania niniejszego rozporządzenia;

ustanawiają specjalny kanał komunikacji z mikroprzedsiębiorstwami i małymi przedsiębiorstwami oraz, w stosownych przypadkach, z lokalnymi organami publicznymi w celu udzielania porad i odpowiedzi na pytania dotyczące wdrażania niniejszego rozporządzenia;

wspierają działania w zakresie testowania i oceny zgodności, w tym w stosownych przypadkach przy wsparciu Europejskiego Centrum Kompetencji w dziedzinie Cyberbezpieczeństwa.

Państwa członkowskie mogą, w stosownych przypadkach, ustanowić piaskownice regulacyjne w zakresie cyberodporności. Takie piaskownice regulacyjne zapewniają kontrolowane środowiska testowe dla innowacyjnych produktów z elementami cyfrowymi, aby ułatwić ich opracowywanie, projektowanie, walidację i testowanie w celu zapewnienia zgodności z niniejszym rozporządzeniem przez ograniczony czas przed wprowadzeniem do obrotu. Komisja oraz, w stosownych przypadkach, ENISA mogą zapewnić wsparcie techniczne, doradztwo i narzędzia na potrzeby ustanowienia i funkcjonowania piaskownic regulacyjnych. Piaskownice regulacyjne są tworzone pod bezpośrednim nadzorem organów nadzoru rynku, zgodnie z ich wytycznymi i przy ich wsparciu. Państwa członkowskie informują Komisję i inne organy nadzoru rynku o utworzeniu piaskownicy regulacyjnej za pośrednictwem grupy ADCO. Piaskownice regulacyjne pozostają bez wpływu na uprawnienia właściwych organów w zakresie nadzoru i stosowania środków naprawczych. Państwa członkowskie zapewniają otwarty, sprawiedliwy i przejrzysty dostęp do piaskownic regulacyjnych, a w szczególności ułatwiają dostęp mikroprzedsiębiorstwom i małym przedsiębiorstwom, w tym przedsiębiorstwom typu start-up.

Zgodnie z art. 26 Komisja zapewnia mikroprzedsiębiorstwom oraz małym i średnim przedsiębiorstwom wytyczne dotyczące wykonania niniejszego rozporządzenia.

Komisja ogłasza dostępne wsparcie finansowe w ramach regulacyjnych istniejących programów Unii, w szczególności w celu zmniejszenia obciążeń finansowych dla mikroprzedsiębiorstw oraz małych przedsiębiorstw.

Mikroprzedsiębiorstwa i małe przedsiębiorstwa mogą dostarczać wszystkie elementy dokumentacji technicznej określonej w załączniku VII przy użyciu uproszczonego formatu. W tym celu Komisja – w drodze aktów wykonawczych – określa uproszczony formularz dokumentacji technicznej ukierunkowany na potrzeby mikroprzedsiębiorstw i małych przedsiębiorstw, w tym sposób dostarczania elementów określonych w załączniku VII. W przypadku gdy mikroprzedsiębiorstwo lub małe przedsiębiorstwo postanowi przekazywać informacje określone w załączniku VII w sposób uproszczony, stosuje formularz, o którym mowa w niniejszym ustępie. Jednostki notyfikowane akceptują ten formularz do celów oceny zgodności.

Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

Artykuł 34

Umowy o wzajemnym uznawaniu

Uwzględniając poziom rozwoju technicznego i podejście do oceny zgodności państwa trzeciego, Unia może zawierać umowy o wzajemnym uznawaniu z państwami trzecimi, zgodnie z art. 218 TFUE, w celu wspierania i ułatwiania handlu międzynarodowego.

ROZDZIAŁ IV

NOTYFIKACJA JEDNOSTEK OCENIAJĄCYCH ZGODNOŚĆ

Artykuł 35

Notyfikacja

Państwa członkowskie notyfikują Komisji i pozostałym państwom członkowskim jednostki uprawnione do dokonywania oceny zgodności zgodnie z niniejszym rozporządzeniem.

Państwa członkowskie dążą do zapewnienia, aby do dnia 11 grudnia 2026 r. wyznaczono w Unii wystarczającą liczbę jednostek notyfikowanych do przeprowadzania ocen zgodności, co pozwoli uniknąć wąskich gardeł oraz barier utrudniających wejście na rynek.

Artykuł 36

Organy notyfikujące

Każde państwo członkowskie wyznacza organ notyfikujący, który odpowiada za opracowanie i przeprowadzanie procedur koniecznych do oceny, wyznaczania i notyfikowania jednostek oceniających zgodność oraz do ich monitorowania, w tym na potrzeby zapewnienia zgodności z art. 41.

Państwa członkowskie mogą zdecydować, że ocena oraz monitorowanie, o których mowa w ust. 1, są prowadzone przez krajową jednostkę akredytującą w rozumieniu rozporządzenia (WE) nr 765/2008 oraz zgodnie z tym rozporządzeniem.

W przypadku gdy organ notyfikujący przekazuje lub w inny sposób powierza ocenę, notyfikację lub monitorowanie, o których mowa w ust. 1 niniejszego artykułu, podmiotowi, który nie jest instytucją rządową, taki podmiot musi posiadać osobowość prawną oraz stosować się odpowiednio do art. 37. Podmiot taki musi ponadto posiadać mechanizmy zapewniające pokrycie zobowiązań wynikających z jego działalności.

Organ notyfikujący ponosi pełną odpowiedzialność za zadania wykonywane przez podmiot, o którym mowa w ust. 3.

Artykuł 37

Wymogi dotyczące organów notyfikujących

Organ notyfikujący ustanawia się w taki sposób, by nie dochodziło do konfliktu interesów między organem notyfikującym a jednostkami oceniającymi zgodność.

Sposób organizacji i funkcjonowania organu notyfikującego musi gwarantować obiektywizm i bezstronność jego działalności.

Sposób organizacji organu notyfikującego musi zapewniać podejmowanie każdej decyzji dotyczącej notyfikacji jednostki oceniającej zgodność przez kompetentne osoby spoza grona osób przeprowadzających ocenę.

Organ notyfikujący nie może oferować ani podejmować żadnych działań wykonywanych przez jednostki oceniające zgodność ani świadczyć usług doradczych na zasadach komercyjnych lub konkurencyjnych.

Organ notyfikujący zapewnia poufność informacji, które otrzymuje.

Organ notyfikujący musi dysponować odpowiednią liczbą pracowników mających kompetencje do właściwego wykonywania jego zadań.

Artykuł 38

Obowiązki informacyjne organów notyfikujących

Państwa członkowskie informują Komisję o swoich procedurach oceny i notyfikacji jednostek oceniających zgodność oraz monitorowania jednostek notyfikowanych, jak również o wszelkich zmianach w tym zakresie.

Komisja podaje informacje, o których mowa w ust. 1, do wiadomości publicznej.

Artykuł 39

Wymogi dotyczące jednostek notyfikowanych

Na potrzeby notyfikacji jednostka oceniająca zgodność musi spełnić wymogi określone w ust. 2–12.

Jednostka oceniająca zgodność jest powoływana na podstawie prawa krajowego i posiada osobowość prawną.

Jednostka oceniająca zgodność jest osobą trzecią, funkcjonującą niezależnie od organizacji lub produktu z elementami cyfrowymi, który ocenia.

Za taką osobę trzecią można uznać jednostkę należącą do stowarzyszenia przedsiębiorców lub zrzeszenia zawodowego reprezentującego przedsiębiorstwa zaangażowane w projektowanie, opracowywanie, produkcję, dostarczanie, montowanie, użytkowanie lub konserwację produktów z elementami cyfrowymi, które ocenia, pod warunkiem że wykazano jej niezależność i brak konfliktu interesów.

Jednostka oceniająca zgodność, jej kierownictwo najwyższego szczebla oraz pracownicy odpowiedzialni za realizację zadań związanych z oceną zgodności nie mogą być projektantami, twórcami, producentami, dostawcami, importerami, dystrybutorami, instalatorami, nabywcami, właścicielami, użytkownikami czy konserwatorami produktów z elementami cyfrowymi, które oceniają, ani upoważnionymi przedstawicielami wymienionych stron. Nie wyklucza to używania ocenianych produktów, które są niezbędne do prowadzenia działalności jednostki oceniającej zgodność, ani używania takich produktów do celów prywatnych.

Jednostka oceniająca zgodność, jej kierownictwo najwyższego szczebla oraz pracownicy odpowiedzialni za realizację zadań związanych z oceną zgodności nie angażują się bezpośrednio w projektowanie, opracowywanie, przywóz, dystrybucję, produkcję, wprowadzanie do obrotu, instalację, użytkowanie lub konserwację produktów z elementami cyfrowymi, które oceniają, ani nie reprezentują stron zaangażowanych w taką działalność. Nie mogą oni angażować się w działalność, która może zagrażać niezależności ich osądów lub wiarygodności w odniesieniu do działań związanych z oceną zgodności będących przedmiotem notyfikacji. Dotyczy to w szczególności usług doradczych.

Jednostki oceniające zgodność zapewniają, aby działalność ich jednostek zależnych lub podwykonawców nie wpływała na poufność, obiektywizm ani bezstronność ich działalności związanej z oceną zgodności.

Jednostki oceniające zgodność i ich pracownicy muszą spełniać w toku realizacji działalności związanej z oceną zgodności najwyższe standardy zawodowe, posiadać konieczne kwalifikacje techniczne w danej dziedzinie oraz nie mogą być poddawani żadnym naciskom ani zachętom, zwłaszcza finansowym, mogącym wpływać na ich osąd lub wyniki działalności związanej z oceną zgodności, w szczególności ze strony osób lub grup osób, których interesy związane są z rezultatami tej działalności.

Jednostka oceniająca zgodność musi być zdolna do realizacji wszystkich zadań związanych z oceną zgodności, o których mowa w załączniku VIII i w odniesieniu do których została notyfikowana, niezależnie od tego, czy dana jednostka oceniająca zgodność wykonuje te zadania samodzielnie, czy są one wykonywane w jej imieniu i na jej odpowiedzialność.

Przez cały czas i w odniesieniu do dowolnej procedury oceny zgodności oraz dowolnego rodzaju lub kategorii produktów z elementami cyfrowymi będących przedmiotem notyfikacji dana jednostka oceniająca zgodność musi dysponować:

niezbędnym personelem posiadającym wiedzę techniczną oraz wystarczające doświadczenie, odpowiednie do realizacji zadań związanych z oceną zgodności;

niezbędnymi opisami procedur, zgodnie z którymi należy przeprowadzać ocenę zgodności, zapewniającymi przejrzystość i powtarzalność tych procedur; jednostka musi posiadać odpowiednią politykę i stosowne procedury, dzięki którym możliwe jest odróżnienie zadań, jakie wykonuje jako jednostka notyfikowana, od pozostałych działań;

niezbędnymi procedurami służącymi wykonywaniu działań z należytym uwzględnieniem wielkości przedsiębiorstwa, sektora jego działalności, struktury przedsiębiorstwa, stopnia złożoności technologii danego produktu oraz masowego lub seryjnego charakteru procesu produkcji.

Jednostka oceniająca zgodność musi dysponować środkami niezbędnymi do prawidłowej realizacji zadań o charakterze technicznym i administracyjnym z zakresu oceny zgodności oraz mieć dostęp do wszelkiego niezbędnego wyposażenia lub wszelkich niezbędnych obiektów.

Personel odpowiedzialny za realizację działań związanych z oceną zgodności musi mieć:

gruntowne przeszkolenie zawodowe i techniczne, obejmujące wszystkie działania związane z oceną zgodności w zakresie będącym przedmiotem notyfikacji jednostki oceniającej zgodność;

dostateczną znajomość wymogów dotyczących ocen, które przeprowadzają, oraz odpowiednie uprawnienia do dokonywania takich ocen;

odpowiednią znajomość i zrozumienie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I, obowiązujących norm zharmonizowanych i wspólnych specyfikacji oraz stosownych przepisów unijnego prawodawstwa harmonizacyjnego i aktów wykonawczych;

umiejętności wymagane do sporządzania certyfikatów, zapisów i sprawozdań potwierdzających, że oceny zostały przeprowadzone.

Zapewnia się bezstronność jednostek oceniających zgodność, ich kierownictwa najwyższego szczebla i pracowników przeprowadzających ocenę.

Wynagrodzenie kierownictwa najwyższego szczebla jednostki oceniającej zgodność oraz jej pracowników przeprowadzających ocenę nie może zależeć od liczby przeprowadzonych ocen ani od ich wyników.

Jednostki oceniające zgodność muszą wykupić ubezpieczenie od odpowiedzialności cywilnej, chyba że na mocy prawa krajowego odpowiedzialność przejęta jest przez ich państwo członkowskie lub państwo członkowskie bezpośrednio odpowiada za ocenę zgodności.

10.

Personel jednostki oceniającej zgodność jest zobowiązany dochować tajemnicy zawodowej w odniesieniu do wszystkich informacji, które uzyskuje w trakcie wykonywania swoich zadań zgodnie z załącznikiem VIII lub przepisami prawa krajowego w danym zakresie, z wyjątkiem dochowania tajemnicy wobec organów nadzoru rynku państwa członkowskiego, w którym realizowane są zadania. Prawa własności podlegają ochronie. Jednostka oceniająca zgodność musi posiadać udokumentowane procedury zapewniające zgodność z niniejszym ustępem.

11.

Jednostki oceniające zgodność biorą udział w stosownej działalności normalizacyjnej i w działalności grupy koordynującej jednostki notyfikowanej, powołanej na podstawie art. 51, lub zapewniają informowanie o takiej działalności swojego personelu przeprowadzającego oceny oraz traktują jak ogólne wytyczne decyzje administracyjne i dokumenty opracowane w wyniku prac takiej grupy.

12.

Jednostki oceniające zgodność prowadzą działalność na spójnych, uczciwych, proporcjonalnych i rozsądnych warunkach, unikając przy tym zbędnych obciążeń dla podmiotów gospodarczych, w szczególności biorąc pod uwagę interesy mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw w odniesieniu do opłat.

Artykuł 40

Domniemanie zgodności jednostek notyfikowanych

Jeżeli jednostka oceniająca zgodność wykaże, że spełnia kryteria ustanowione w odpowiednich normach zharmonizowanych – lub ich częściach – do których odniesienia opublikowano w Dzienniku Urzędowym Unii Europejskiej, domniemuje się, że jednostka ta spełnia wymogi określone w art. 39, jeżeli mające zastosowanie normy zharmonizowane obejmują te wymogi.

Artykuł 41

Jednostki zależne i podwykonawcy jednostek notyfikowanych

W przypadku gdy jednostka notyfikowana zleca podwykonawstwo określonych zadań związanych z oceną zgodności lub korzysta z usług jednostki zależnej, zapewnia ona, aby podwykonawca lub jednostka zależna spełniali wymogi określone w art. 39, oraz odpowiednio informuje o tym organ notyfikujący.

Jednostki notyfikowane ponoszą pełną odpowiedzialność za zadania wykonywane przez podwykonawców lub jednostki zależne, niezależnie od tego, gdzie podwykonawcy lub jednostki zależne mają siedzibę.

Działania te można zlecać podwykonawcom lub powierzać do wykonania jednostce zależnej wyłącznie za zgodą producenta.

Jednostki notyfikowane przechowują do dyspozycji organu notyfikującego odpowiednie dokumenty dotyczące oceny kwalifikacji podwykonawcy lub jednostki zależnej oraz prac wykonywanych przez podwykonawcę lub jednostkę zależną zgodnie z niniejszym rozporządzeniem.

Artykuł 42

Wniosek o notyfikację

Jednostka oceniająca zgodność przedkłada wniosek o notyfikację organowi notyfikującemu państwa członkowskiego, w którym ma swoją siedzibę.

Do wniosku załącza się opis działań związanych z oceną zgodności, procedury lub procedur oceny zgodności oraz produktu lub produktów z elementami cyfrowymi wchodzących w zakres kompetencji danej jednostki, jak również, w stosownych przypadkach, certyfikat akredytacji wydany przez krajową jednostkę akredytującą, potwierdzający, że jednostka oceniająca zgodność spełnia wymogi określone w art. 39.

Jeżeli dana jednostka oceniająca zgodność nie może dostarczyć certyfikatu akredytacji, przedkłada ona organowi notyfikującemu wszystkie dowody w postaci dokumentów niezbędne do sprawdzenia, uznania i regularnego monitorowania jej zgodności z wymogami określonymi w art. 39.

Artykuł 43

Procedura notyfikacji

Organy notyfikujące notyfikują wyłącznie te jednostki oceniające zgodność, które spełniają wymogi określone w art. 39.

Organ notyfikujący notyfikuje Komisję i pozostałe państwa członkowskie za pomocą systemu informacyjnego NANDO opracowanego i zarządzanego przez Komisję.

Do notyfikacji załącza się wszystkie szczegółowe informacje dotyczące działań związanych z oceną zgodności, modułu lub modułów oceny zgodności, produktu lub produktów z elementami cyfrowymi, których to dotyczy, oraz stosowne poświadczenie kompetencji.

W przypadku gdy podstawy notyfikacji nie stanowi certyfikat akredytacji, o którym mowa w art. 42 ust. 2, organ notyfikujący przedkłada Komisji i pozostałym państwom członkowskim dowody w postaci dokumentów potwierdzających kompetencje jednostki oceniającej zgodność oraz przedstawia ustalenia wprowadzone, aby zapewnić systematyczne monitorowanie tej jednostki i dalsze spełnianie przez nią wymogów określonych w art. 39.

Dana jednostka może prowadzić działalność jednostki notyfikowanej wyłącznie pod warunkiem że Komisja lub pozostałe państwa członkowskie nie zgłosiły zastrzeżeń w terminie dwóch tygodni od notyfikacji w przypadku korzystania z certyfikatu akredytacji lub w terminie dwóch miesięcy od notyfikacji w przypadku niekorzystania z akredytacji.

Wyłącznie taką jednostkę uznaje się za jednostkę notyfikowaną do celów niniejszego rozporządzenia.

O wszelkich kolejnych zmianach w notyfikacji powiadamia się Komisję i pozostałe państwa członkowskie.

Artykuł 44

Numery identyfikacyjne i wykazy jednostek notyfikowanych

Komisja przydziela jednostce notyfikowanej numer identyfikacyjny.

Komisja przydziela jeden numer identyfikacyjny, nawet w przypadku gdy jednostka jest notyfikowana na mocy różnych aktów prawnych Unii.

Komisja podaje do wiadomości publicznej wykaz jednostek notyfikowanych na podstawie niniejszego rozporządzenia, wraz z przydzielonymi im numerami identyfikacyjnymi oraz informacją na temat rodzaju działań, w odniesieniu do których zostały notyfikowane.

Komisja zapewnia bieżącą aktualizację tego wykazu.

Artykuł 45

Zmiany w notyfikacji

W przypadku gdy organ notyfikujący stwierdza lub otrzymuje informację, że jednostka notyfikowana przestała spełniać wymogi określone w art. 39 lub nie wykonuje swoich obowiązków, organ notyfikujący, odpowiednio, ogranicza, zawiesza lub cofa notyfikację, w zależności od powagi niespełnianych wymogów lub niewykonanych obowiązków. Niezwłocznie informuje o tym Komisję i pozostałe państwa członkowskie.

W przypadku ograniczenia, zawieszenia lub cofnięcia notyfikacji albo w przypadku zaprzestania działalności przez jednostkę notyfikowaną notyfikujące państwo członkowskie wdraża właściwe środki w celu zapewnienia, aby dokumentacją tej jednostki zajęła się inna jednostka notyfikowana lub aby była ona dostępna na żądanie odpowiedzialnych organów notyfikujących i organów nadzoru rynku.

Artykuł 46

Kwestionowanie kompetencji jednostek notyfikowanych

Komisja bada wszystkie przypadki, w których ma wątpliwości lub otrzymuje informacje o wątpliwościach co do kompetencji jednostki notyfikowanej lub dalszego spełniania wymogów, którym jednostka ta podlega, i wywiązywania się z nałożonych na nią obowiązków.

Na żądanie Komisji notyfikujące państwo członkowskie udziela jej wszelkich informacji dotyczących podstawy notyfikacji lub utrzymania kompetencji danej jednostki.

Komisja zapewnia poufne traktowanie wszystkich informacji szczególnie chronionych uzyskanych w trakcie prowadzonych postępowań wyjaśniających.

W przypadku gdy Komisja stwierdza, że jednostka notyfikowana nie spełnia wymogów swojej notyfikacji lub przestała je spełniać, informuje o tym fakcie notyfikujące państwo członkowskie i zwraca się do niego o wprowadzenie koniecznych środków naprawczych, włącznie z wycofaniem notyfikacji, jeżeli zachodzi taka potrzeba.

Artykuł 47

Obowiązki operacyjne jednostek notyfikowanych

Jednostki notyfikowane przeprowadzają oceny zgodności zgodnie z procedurami oceny zgodności określonymi w art. 32 i załączniku VIII.

Oceny zgodności przeprowadza się w sposób proporcjonalny, unikając przy tym zbędnych obciążeń dla podmiotów gospodarczych. Jednostki oceniające zgodność wykonują swoje działania, uwzględniając wielkość przedsiębiorstw, w szczególności mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw, sektor, w którym działają, ich strukturę, stopień złożoności i poziom ryzyka w cyberprzestrzeni związanego z danymi produktami zawierającymi elementy cyfrowe oraz technologię i masowy lub seryjny charakter procesu produkcji.

Jednostki notyfikowane zachowują jednak odpowiednią rygorystyczność i odpowiedni poziom ochrony wymagane dla zagwarantowania zgodności produktów z elementami cyfrowymi z niniejszym rozporządzeniem.

Jeżeli jednostka notyfikowana stwierdza, że producent nie spełnił wymogów określonych w załączniku I lub w odpowiednich normach zharmonizowanych czy wspólnych specyfikacjach, o których mowa w art. 27, zobowiązuje ona producenta do wprowadzenia stosownych środków naprawczych i nie wydaje mu certyfikatu zgodności.

W przypadku gdy w trakcie monitorowania zgodności po wydaniu certyfikatu jednostka notyfikowana stwierdza, że produkt z elementami cyfrowymi przestał spełniać wymogi określone w niniejszym rozporządzeniu, zobowiązuje producenta do wprowadzenia stosownych środków naprawczych, a jeżeli zachodzi taka konieczność, zawiesza lub cofa dany certyfikat.

W przypadku niewprowadzenia środków naprawczych lub jeżeli środki te nie przynoszą wymaganych skutków, jednostka notyfikowana ogranicza, zawiesza lub cofa wszelkie certyfikaty, w stosownych przypadkach.

Artykuł 48

Środek zaskarżenia od decyzji jednostek notyfikowanych

Państwa członkowskie zapewniają możliwość wniesienia środka zaskarżenia od decyzji jednostek notyfikowanych.

Artykuł 49

Obowiązki informacyjne jednostek notyfikowanych

Jednostki notyfikowane informują organ notyfikujący:

o każdym przypadku odmowy wydania, ograniczenia, zawieszenia lub cofnięcia certyfikatu;

o wszelkich okolicznościach, które mogą mieć negatywny wpływ na zakres i warunki notyfikacji;

o każdym przypadku zażądania przez organ nadzoru rynku udzielenia informacji dotyczących działań związanych z oceną zgodności;

na wniosek, o podejmowanych działaniach związanych z oceną zgodności wchodzących w zakres ich notyfikacji oraz o innych wykonywanych działaniach, w tym o działalności transgranicznej i podwykonawstwie.

Jednostki notyfikowane przekazują pozostałym jednostkom notyfikowanym na podstawie niniejszego rozporządzenia prowadzącym podobne działania związane z oceną zgodności i zajmującym się tymi samymi produktami z elementami cyfrowymi odpowiednie informacje o kwestiach, w których wyniki oceny zgodności były negatywne, a na wniosek również tych, w których były one pozytywne.

Artykuł 50

Wymiana doświadczeń

Komisja organizuje wymianę doświadczeń między organami krajowymi państw członkowskich odpowiedzialnymi za strategię w zakresie notyfikacji.

Artykuł 51

Koordynacja jednostek notyfikowanych

Komisja zapewnia wprowadzenie i właściwą realizację odpowiedniej koordynacji i współpracy między jednostkami notyfikowanymi, w formie międzysektorowego zespołu jednostek notyfikowanych.

Państwa członkowskie zapewniają, aby notyfikowane przez nie jednostki uczestniczyły w pracach tego zespołu bezpośrednio lub za pośrednictwem wyznaczonych przedstawicieli.

ROZDZIAŁ V

NADZÓR RYNKU I EGZEKWOWANIE PRZEPISÓW

Artykuł 52

Nadzór rynku i kontrola produktów z elementami cyfrowymi na rynku Unii

Do produktów z elementami cyfrowymi, które są objęte zakresem niniejszego rozporządzenia, stosuje się przepisy rozporządzenia (UE) 2019/1020.

Każde państwo członkowskie wyznacza co najmniej jeden organ nadzoru rynku do celów zapewnienia skutecznego wdrażania niniejszego rozporządzenia. Państwa członkowskie mogą wyznaczyć istniejący lub nowy organ, który będzie pełnił funkcję organu nadzoru rynku do celów niniejszego rozporządzenia.

Organy nadzoru rynku wyznaczone na podstawie ust. 2 niniejszego artykułu są również odpowiedzialne za prowadzenie działań w zakresie nadzoru rynku w odniesieniu do obowiązków opiekunów otwartego oprogramowania określonych w art. 24. W przypadku gdy organ nadzoru rynku stwierdzi, że opiekun otwartego oprogramowania nie spełnia obowiązków określonych w tym artykule, wymaga ona, aby opiekun otwartego oprogramowania zapewnił, że zostaną podjęte wszelkie odpowiednie działania naprawcze. Opiekunowie otwartego oprogramowania zapewniają, aby zostały podjęte wszelkie odpowiednie działania naprawcze w odniesieniu do ich obowiązków wynikających z niniejszego rozporządzenia.

W stosownych przypadkach organy nadzoru rynku współpracują z krajowymi organami ds. certyfikacji cyberbezpieczeństwa wyznaczonymi na mocy art. 58 rozporządzenia (UE) 2019/881 i regularnie wymieniają się informacjami. Wyznaczone organy nadzoru rynku regularnie współpracują i wymieniają się informacjami z CSIRT-ami wyznaczonymi na koordynatorów oraz z ENISA w odniesieniu do nadzoru nad realizacją obowiązków w zakresie zgłaszania, o których mowa w art. 14 niniejszego rozporządzenia.

Organy nadzoru rynku mogą zwrócić się do CSIRT-u wyznaczonego na koordynatora lub do ENISA o udzielenie im porad technicznych w kwestiach związanych z wdrażaniem i egzekwowaniem niniejszego rozporządzenia. Przeprowadzając postępowanie wyjaśniające zgodnie z art. 54, organy nadzoru rynku mogą zwrócić się do CSIRT-u wyznaczonego na koordynatora lub do ENISA o dostarczenie analizy na poparcie oceny zgodności produktów z elementami cyfrowymi.

W stosownych przypadkach organy nadzoru rynku współpracują z innymi organami nadzoru rynku wyznaczonymi na podstawie unijnego prawodawstwa harmonizacyjnego innego niż niniejsze rozporządzenie oraz regularnie wymieniają się informacjami.

W stosownych przypadkach organy nadzoru rynku współpracują z organami nadzorującymi egzekwowanie unijnego prawa ochrony danych. Taka współpraca obejmuje informowanie tych organów o wszelkich ustaleniach istotnych dla wykonywania zadań leżących w ich kompetencjach, w tym przy wydawaniu wskazówek i porad na podstawie ust. 10, jeżeli takie wskazówki i porady dotyczą przetwarzania danych osobowych.

Organy nadzorujące egzekwowanie unijnego prawa ochrony danych są uprawnione do żądania dostępu do wszelkiej dokumentacji sporządzonej lub prowadzonej na podstawie niniejszego rozporządzenia, jeżeli dostęp do tej dokumentacji jest niezbędny do wykonywania ich zadań. Organy te informują wyznaczone organy nadzoru rynku danego państwa członkowskiego o każdym takim żądaniu.

Państwa członkowskie zapewniają, aby wyznaczone organy nadzoru rynku dysponowały odpowiednimi zasobami finansowymi i technicznymi, w tym w stosownych przypadkach narzędziami automatyzacji przetwarzania, a także zasobami ludzkimi mającymi umiejętności w zakresie cyberbezpieczeństwa niezbędne do wykonywania zadań powierzonych im zgodnie z niniejszym rozporządzeniem.

Komisja zachęca do wymiany doświadczeń między wyznaczonymi organami nadzoru rynku i sprzyja jej.

10.

Organy nadzoru rynku mogą udzielać podmiotom gospodarczym wskazówek i porad dotyczących wdrażania niniejszego rozporządzenia, przy wsparciu Komisji oraz, w stosownych przypadkach, CSIRT-ów i ENISA.

11.

Organy nadzoru rynku informują konsumentów o tym, gdzie można składać skargi mogące wskazywać na niezgodność z niniejszym rozporządzeniem, zgodnie z art. 11 rozporządzenia (UE) 2019/1020, oraz o tym, gdzie i jak można uzyskać dostęp do mechanizmów ułatwiających zgłaszanie podatności, incydentów i cyberzagrożeń, które mogą mieć wpływ na produkty z elementami cyfrowymi.

12.

Organy nadzoru rynku ułatwiają w stosownych przypadkach współpracę z odpowiednimi zainteresowanymi stronami, w tym organizacjami naukowymi, badawczymi i konsumenckimi.

13.

Organy nadzoru rynku przekazują Komisji coroczne sprawozdania dotyczące rezultatów stosownych działań w zakresie nadzoru rynku. Wyznaczone organy nadzoru rynku niezwłocznie przekazują Komisji i odpowiednim krajowym organom ochrony konkurencji wszelkie informacje zgromadzone w trakcie podejmowania działań w zakresie nadzoru rynku, które mogą okazać się istotne z punku widzenia stosowania unijnego prawa konkurencji.

14.

W przypadku produktów z elementami cyfrowymi, które są objęte zakresem niniejszego rozporządzenia, zaklasyfikowanych jako systemy sztucznej inteligencji wysokiego ryzyka na mocy art. 6 rozporządzenia (UE) 2024/1689, organy nadzoru rynku wyznaczone do celów tego rozporządzenia są organami odpowiedzialnymi za działania w zakresie nadzoru rynku wymagane na podstawie niniejszego rozporządzenia. W stosownych przypadkach organy nadzoru rynku wyznaczone na podstawie rozporządzenia (UE) 2024/1689 współpracują z organami nadzoru rynku wyznaczonymi na podstawie niniejszego rozporządzenia oraz, w odniesieniu do sprawowania nadzoru nad wykonywaniem obowiązków w zakresie zgłaszania incydentów, o których mowa w art. 14 niniejszego rozporządzenia, z CSIRT-ami wyznaczonymi na koordynatorów oraz z ENISA. Organy nadzoru rynku wyznaczone na podstawie rozporządzenia (UE) 2024/1689 informują w szczególności organy nadzoru rynku wyznaczone na podstawie niniejszego rozporządzenia o wszelkich ustaleniach istotnych dla realizacji ich zadań związanych z wdrożeniem niniejszego rozporządzenia.

15.

Do celów jednolitego stosowania niniejszego rozporządzenia ustanawia się grupę ADCO zgodnie z art. 30 ust. 2 rozporządzenia (UE) 2019/1020. W skład grupy ADCO wchodzą przedstawiciele wyznaczonych organów nadzoru rynku oraz, w razie potrzeby, przedstawiciele jednolitych urzędów łącznikowych. Grupa ADCO zajmuje się również szczegółowymi kwestiami związanymi z działaniami w zakresie nadzoru rynku w odniesieniu do obowiązków nałożonych na opiekunów otwartego oprogramowania.

16.

Organy nadzoru rynku monitorują, jak producenci stosują kryteria, o których mowa w art. 13 ust. 8, przy określaniu okresu wsparcia dla ich produktów z elementami cyfrowymi.

Grupa ADCO podaje do wiadomości publicznej, w przyjaznej dla użytkownika formie, odpowiednie statystyki dotyczące kategorii produktów z elementami cyfrowymi, w tym średnich okresów wsparcia, określonych przez producenta zgodnie z art. 13 ust. 8, a także zapewnia wytyczne zawierające orientacyjne okresy wsparcia dla kategorii produktów z elementami cyfrowymi.

Jeżeli dane wskazują, że okresy wsparcia dla określonych kategorii produktów z elementami cyfrowymi są niedostateczne, grupa ADCO może wydać zalecenia dla organów nadzoru rynku, aby skoncentrowały swoje działania na takich kategoriach produktów z elementami cyfrowymi.

Artykuł 53

Dostęp do danych i dokumentacji

Jeżeli jest to konieczne do oceny zgodności produktów z elementami cyfrowymi i procedur wprowadzonych przez ich producentów z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I, organom nadzoru rynku na uzasadniony wniosek przyznaje się dostęp, w języku łatwo zrozumiałym dla tych organów, do danych niezbędnych do oceny projektu, procesu opracowania, produkcji i postępowania w przypadku wykrycia podatności, w tym dostęp do powiązanej dokumentacji wewnętrznej dotyczącej odnośnego podmiotu gospodarczego.

Artykuł 54

Procedura na poziomie krajowym dotycząca produktów z elementami cyfrowymi stwarzających istotne ryzyko w cyberprzestrzeni

Jeżeli organ nadzoru rynku państwa członkowskiego ma wystarczający powód sądzić, że produkt z elementami cyfrowymi, w tym dotyczące go postępowanie w przypadku wykrycia podatności, stwarza istotne ryzyko w cyberprzestrzeni, organ przeprowadza, bez zbędnej zwłoki i w stosownych przypadkach we współpracy z odpowiednim CSIRT-em, ocenę tego produktu z elementami cyfrowymi pod kątem zgodności produktu ze wszystkimi wymogami określonymi w niniejszym rozporządzeniu. W razie potrzeby odpowiednie podmioty gospodarcze współpracują z danym organem nadzoru rynku.

Jeżeli w trakcie tej oceny organ nadzoru rynku stwierdzi, że produkt z elementami cyfrowymi nie jest zgodny z wymogami określonymi w niniejszym rozporządzeniu, niezwłocznie zobowiązuje właściwy podmiot gospodarczy do podjęcia wszelkich odpowiednich działań naprawczych w celu zapewnienia zgodności produktu z elementami cyfrowymi z tymi wymogami, wycofania go z obrotu lub odzyskania go w wyznaczonym przez organ rozsądnym terminie, stosownym do charakteru ryzyka w cyberprzestrzeni, zgodnie z zaleceniami organu nadzoru rynku.

Organ nadzoru rynku informuje o tym odpowiednią jednostkę notyfikowaną. Art. 18 rozporządzenia (UE) 2019/1020 stosuje się do działań naprawczych.

Określając znaczenie ryzyka w cyberprzestrzeni, o którym mowa w ust. 1 niniejszego artykułu, organy nadzoru rynku uwzględniają również pozatechniczne czynniki ryzyka, w szczególności te ustalone w wyniku skoordynowanych na poziomie Unii ocen ryzyka w zakresie bezpieczeństwa krytycznych łańcuchów dostaw przeprowadzonych zgodnie z art. 22 dyrektywy (UE) 2022/2555. W przypadku gdy organ nadzoru rynku ma wystarczający powód sądzić, że produkt z elementami cyfrowymi stwarza istotne ryzyko w cyberprzestrzeni w świetle pozatechnicznych czynników ryzyka, informuje o tym właściwe organy wyznaczone lub ustanowione na podstawie art. 8 dyrektywy (UE) 2022/2555 i w razie potrzeby współpracuje z tymi organami.

W przypadku gdy organ nadzoru rynku uzna, że niezgodność z wymogami nie ogranicza się do jego terytorium krajowego, informuje Komisję oraz pozostałe państwa członkowskie o wynikach oceny oraz o działaniach, których podjęcia zażądał od danego podmiotu gospodarczego.

Podmiot gospodarczy zapewnia podjęcie wszelkich odpowiednich działań naprawczych w odniesieniu do wszystkich określonych produktów z elementami cyfrowymi, które udostępnił na rynku w całej Unii.

W przypadku niepodjęcia przez podmiot gospodarczy produktu z elementami cyfrowymi odpowiednich działań naprawczych w terminie, o którym mowa w ust. 1 akapit drugi, organ nadzoru rynku wprowadza wszelkie odpowiednie środki tymczasowe w celu zakazania lub ograniczenia udostępniania tego produktu z elementami cyfrowymi na rynku krajowym, wycofania produktu z obrotu lub odzyskania go.

Organ ten niezwłocznie notyfikuje te środki Komisji i pozostałym państwom członkowskim.

Informacje, o których mowa w ust. 5, obejmują wszelkie dostępne informacje szczegółowe, w szczególności dane niezbędne do identyfikacji niezgodnego z przepisami produktu z elementami cyfrowymi, pochodzenie tego produktu z elementami cyfrowymi, charakter domniemanej niezgodności i związanego z nią ryzyka, charakter i okres obowiązywania wprowadzonych środków krajowych oraz argumenty przedstawione przez właściwy podmiot gospodarczy. W szczególności organ nadzoru rynku wskazuje, czy niezgodność wynika z co najmniej jednej z następujących przyczyn:

niespełnienia przez produkt z elementami cyfrowymi lub procedury wprowadzone przez producenta zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I;

niedociągnięć w normach zharmonizowanych, europejskich programach certyfikacji cyberbezpieczeństwa lub wspólnych specyfikacjach, o których mowa w art. 27.

Organy nadzoru rynku państw członkowskich inne niż organ nadzoru rynku państwa członkowskiego wszczynającego procedurę niezwłocznie informują Komisję i pozostałe państwa członkowskie o wszelkich przyjętych środkach i przekazują wszelkie posiadane dodatkowe informacje dotyczące niezgodności danego produktu z elementami cyfrowymi z przepisami lub przedstawiają swoje zastrzeżenia, jeżeli nie zgadzają się ze zgłoszonym środkiem krajowym.

W przypadku gdy w terminie trzech miesięcy od dnia otrzymania notyfikacji, o której mowa w ust. 5 niniejszego artykułu, ani państwo członkowskie, ani Komisja nie zgłoszą sprzeciwu wobec środka tymczasowego przyjętego przez dane państwo członkowskie, środek ten uznaje się za uzasadniony. Pozostaje to bez uszczerbku dla praw procesowych danego podmiotu gospodarczego określonych w art. 18 rozporządzenia (UE) 2019/1020.

Organy nadzoru rynku we wszystkich państwach członkowskich zapewniają niezwłoczne wprowadzenie odpowiednich środków ograniczających w odniesieniu do danego produktu z elementami cyfrowymi, takich jak wycofanie tego produktu z obrotu.

Artykuł 55

Unijna procedura ochronna

Jeżeli w terminie trzech miesięcy od dnia otrzymania informacji, o której mowa w art. 54 ust. 5, państwo członkowskie zgłosi zastrzeżenia dotyczące środka wprowadzonego przez inne państwo członkowskie lub jeżeli Komisja uzna taki środek za sprzeczny z prawem Unii, Komisja niezwłocznie przystępuje do konsultacji z odpowiednim państwem członkowskim i podmiotem gospodarczym lub podmiotami gospodarczymi i poddaje taki środek krajowy ocenie. Na podstawie wyników tej oceny Komisja podejmuje decyzję, czy środek krajowy jest uzasadniony czy nie, w terminie dziewięciu miesięcy od otrzymania informacji, o której mowa w art. 54 ust. 5, i informuje o tej decyzji dane państwo członkowskie.

W przypadku uznania krajowego środka za uzasadniony wszystkie państwa członkowskie wprowadzają środki konieczne do zapewnienia wycofania niezgodnego produktu z elementami cyfrowymi ze swoich rynków oraz informują o tym Komisję. W przypadku gdy środek krajowy nie zostaje uznany za uzasadniony, państwo członkowskie, którego to dotyczy, cofa go.

W przypadku uznania krajowego środka za uzasadniony i stwierdzenia, że niezgodność produktu z elementami cyfrowymi wynika z niedociągnięć w normach zharmonizowanych, Komisja stosuje procedurę przewidzianą w art. 11 rozporządzenia (UE) nr 1025/2012.

W przypadku uznania krajowego środka za uzasadniony i stwierdzenia, że niezgodność produktu z elementami cyfrowymi wynika z niedociągnięć w europejskim programie certyfikacji cyberbezpieczeństwa, o którym mowa w art. 27, Komisja rozważa, czy zmienić lub uchylić którykolwiek akt delegowany przyjęty na podstawie art. 27 ust. 9, określający domniemanie zgodności dotyczące tego programu certyfikacji.

W przypadku uznania krajowego środka za uzasadniony i stwierdzenia, że niezgodność produktu z elementami cyfrowymi wynika z niedociągnięć we wspólnych specyfikacjach, o których mowa w art. 27, Komisja rozważa, czy zmienić lub uchylić akt wykonawczy przyjęty na podstawie art. 27 ust. 2, określający te wspólne specyfikacje.

Artykuł 56

Procedura na poziomie Unii dotycząca produktów z elementami cyfrowymi stwarzających istotne ryzyko w cyberprzestrzeni

W przypadku gdy Komisja ma wystarczający powód sądzić, w tym na podstawie informacji przekazanych przez ENISA, że produkt z elementami cyfrowymi, który stwarza istotne ryzyko w cyberprzestrzeni, nie spełnia wymogów określonych w niniejszym rozporządzeniu, informuje o tym odpowiednie organy nadzoru rynku. W przypadku gdy organy nadzoru rynku przeprowadzają ocenę tego produktu z elementami cyfrowymi, który może stwarzać znaczące ryzyko w cyberprzestrzeni w związku z jego zgodnością z wymogami określonymi w niniejszym rozporządzeniu, stosuje się procedury, o których mowa w art. 54 i 55.

W przypadku gdy Komisja ma wystarczający powód sądzić, że produkt z elementami cyfrowymi stwarza istotne ryzyko w cyberprzestrzeni w świetle pozatechnicznych czynników ryzyka, informuje o tym właściwe organy nadzoru rynku oraz, w stosownych przypadkach, właściwe organy wyznaczone lub ustanowione na podstawie art. 8 dyrektywy (UE) 2022/2555 i w razie potrzeby współpracuje z tymi organami. Komisja rozpatruje również znaczenie zidentyfikowanego ryzyka dla tego produktu z elementami cyfrowymi w świetle swoich zadań dotyczących skoordynowanych na poziomie Unii szacowań ryzyka dla bezpieczeństwa krytycznych łańcuchów dostaw, o których mowa w art. 22 dyrektywy (UE) 2022/2555, i w razie potrzeby konsultuje się z Grupą Współpracy ustanowioną na podstawie art. 14 dyrektywy (UE) 2022/2555 i z ENISA.

W okolicznościach, które uzasadniają niezwłoczną interwencję w celu utrzymania prawidłowego funkcjonowania rynku wewnętrznego, i jeżeli Komisja ma wystarczający powód sądzić, że produkt z elementami cyfrowymi, o którym mowa w ust. 1, nadal nie spełnia wymogów określonych w niniejszym rozporządzeniu, a odpowiednie organy nadzoru rynku nie wprowadziły żadnych skutecznych środków, Komisja przeprowadza ocenę zgodności i może zwrócić się do ENISA o dostarczenie analizy na jej poparcie. Komisja informuje o tym odpowiednie organy nadzoru rynku. W razie potrzeby odpowiednie podmioty gospodarcze współpracują z ENISA.

Na podstawie oceny, o której mowa w ust. 3, Komisja może zdecydować, że konieczne jest wprowadzenie środka naprawczego lub ograniczającego na poziomie Unii. W tym celu Komisja niezwłocznie przeprowadza konsultacje z zainteresowanymi państwami członkowskimi i odpowiednim podmiotem gospodarczym lub podmiotami gospodarczymi.

Na podstawie konsultacji, o których mowa w ust. 4 niniejszego artykułu, Komisja może przyjąć akty wykonawcze w celu określenia środków naprawczych lub ograniczających na poziomie Unii, w tym wymagające wycofania z obrotu lub odzyskania określonych produktów z elementami cyfrowymi w rozsądnym terminie, stosownym do charakteru ryzyka. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

Komisja niezwłocznie informuje odpowiedni podmiot gospodarczy lub odpowiednie podmioty gospodarcze o aktach wykonawczych, o których mowa w ust. 5. Państwa członkowskie niezwłocznie wprowadzają w życie te akty wykonawcze i informują o tym Komisję.

Przepisy ust. 3–6 mają zastosowanie przez okres trwania wyjątkowej sytuacji, która uzasadniała interwencję Komisji, pod warunkiem że nie zapewniono zgodności danego produktu z elementami cyfrowymi z niniejszym rozporządzeniem.

Artykuł 57

Zgodne produkty z elementami cyfrowymi, które stwarzają istotne ryzyko w cyberprzestrzeni

Organ nadzoru rynku państwa członkowskiego zobowiązuje podmiot gospodarczy do podjęcia wszelkich odpowiednich środków, jeżeli po przeprowadzeniu oceny na podstawie art. 54 stwierdzi, że chociaż produkt z elementami cyfrowymi i procedury wprowadzone przez producenta są zgodne z niniejszym rozporządzeniem, stwarzają one istotne ryzyko w cyberprzestrzeni, a także stwarzają ryzyko dla:

zdrowia lub bezpieczeństwa osób;

wypełnienia obowiązków wynikających z prawa Unii lub prawa krajowego mających na celu ochronę praw podstawowych;

dostępności, autentyczności, integralności lub poufności usług oferowanych przy użyciu elektronicznego systemu informacyjnego przez podmioty niezbędne, o których mowa w art. 3 ust. 1 dyrektywy (UE) 2022/2555; lub

innych aspektów ochrony interesu publicznego.

Środki, o których mowa w akapicie pierwszym, mogą obejmować środki mające na celu zapewnienie, aby dany produkt z elementami cyfrowymi i procedury wprowadzone przez producenta nie stwarzały już określonego ryzyka w momencie udostępnienia na rynku, wycofania z obrotu danego produktu z elementami cyfrowymi lub jego odzyskania, i są stosowne do charakteru tego ryzyka.

Producent lub inne właściwe podmioty gospodarcze zapewniają podjęcie działań naprawczych w odniesieniu do określonych produktów z elementami cyfrowymi, które udostępniły na rynku w całej Unii, w terminie wyznaczonym przez organ nadzoru rynku państwa członkowskiego, o którym mowa w ust. 1.

Państwo członkowskie niezwłocznie informuje Komisję i pozostałe państwa członkowskie o środkach wprowadzonych na podstawie ust. 1. Informacje te obejmują wszelkie dostępne informacje szczegółowe, w szczególności dane konieczne do identyfikacji odnośnych produktów z elementami cyfrowymi, informacje na temat pochodzenia i łańcucha dostaw tych produktów z elementami cyfrowymi, charakteru występującego ryzyka oraz rodzaju i okresu obowiązywania wprowadzonych środków krajowych.

Komisja niezwłocznie rozpoczyna konsultacje z państwami członkowskimi i odpowiednim podmiotem gospodarczym oraz ocenia wprowadzone środki krajowe. Na podstawie wyników tej oceny Komisja decyduje, czy dany środek jest uzasadniony, oraz proponuje odpowiednie środki, o ile są konieczne.

Komisja kieruje decyzję, o której mowa w ust. 4, do państw członkowskich.

W przypadku gdy Komisja ma wystarczający powód sądzić, w tym na podstawie informacji przekazanych przez ENISA, że produkt z elementami cyfrowymi, choć zgodny z niniejszym rozporządzeniem, stwarza ryzyko, o którym mowa w ust. 1 niniejszego artykułu, informuje ona odpowiedni organ lub odpowiednie organy nadzoru rynku i może zwrócić się do nich o przeprowadzenie oceny i zastosowanie procedur, o których mowa w art. 54 oraz w ust. 1, 2 i 3 niniejszego artykułu.

W okolicznościach, które uzasadniają niezwłoczną interwencję w celu utrzymania prawidłowego funkcjonowania rynku wewnętrznego, i jeżeli Komisja ma wystarczający powód sądzić, że produkt z elementami cyfrowymi, o którym mowa w ust. 6, nadal stwarza ryzyko, o którym mowa w ust. 1, a odpowiednie krajowe organy nadzoru rynku nie wprowadziły żadnych skutecznych środków, Komisja przeprowadza ocenę ryzyka stwarzanego przez ten produkt z elementami cyfrowymi i może zwrócić się do ENISA o dostarczenie analizy na poparcie tej oceny oraz informuje o tym odpowiednie organy nadzoru rynku. W razie potrzeby odpowiednie podmioty gospodarcze współpracują z ENISA.

Na podstawie oceny, o której mowa w ust. 7, Komisja może ustalić, że konieczne jest wprowadzenie środka naprawczego lub ograniczającego na poziomie Unii. W tym celu Komisja niezwłocznie przeprowadza konsultacje z zainteresowanymi państwami członkowskimi i odpowiednim podmiotem gospodarczym lub podmiotami gospodarczymi.

Na podstawie konsultacji, o których mowa w ust. 8 niniejszego artykułu, Komisja może przyjąć akty wykonawcze w celu podjęcia decyzji o wprowadzeniu środków naprawczych lub ograniczających na poziomie Unii, w tym wymagających wycofania określonych produktów z elementami cyfrowymi z obrotu lub odzyskania ich w rozsądnym terminie, stosownym do charakteru ryzyka. Te akty wykonawcze przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.

10.

Komisja niezwłocznie informuje odpowiedni podmiot gospodarczy lub odpowiednie podmioty gospodarcze o aktach wykonawczych, o których mowa w ust. 9. Państwa członkowskie niezwłocznie wprowadzają w życie te akty wykonawcze i informują o tym Komisję.

11.

Przepisy ust. 6–10 stosuje się przez okres trwania wyjątkowej sytuacji, która uzasadniała interwencję Komisji, oraz tak długo, jak dany produkt z elementami cyfrowymi stwarza ryzyko, o którym mowa w ust. 1.

Artykuł 58

Formalna niezgodność z przepisami

Jeżeli organ nadzoru rynku państwa członkowskiego stwierdzi jedno z poniższych, wymaga od właściwego producenta usunięcia danej niezgodności:

umieszczenie oznakowania CE z naruszeniem art. 29 i 30;

nieumieszczenie oznakowania CE;

niesporządzenie deklaracji zgodności UE;

nieprawidłowe sporządzenie deklaracji zgodności UE;

w stosownych przypadkach nieumieszczenie numeru identyfikacyjnego jednostki notyfikowanej uczestniczącej w procedurze oceny zgodności;

niedostępna albo niekompletna dokumentacja techniczna.

Jeżeli niezgodność, o której mowa w ust. 1, utrzymuje się, dane państwo członkowskie wprowadza wszelkie odpowiednie środki, by ograniczyć lub zakazać udostępniania danego produktu z elementami cyfrowymi na rynku bądź zapewnić jego odzyskanie lub wycofanie z obrotu.

Artykuł 59

Wspólne działania organów nadzoru rynku

Organy nadzoru rynku mogą zawierać z innymi odpowiednimi organami porozumienia o wspólnych działaniach mających zapewnić cyberbezpieczeństwo i ochronę konsumentów w odniesieniu do określonych produktów z elementami cyfrowymi wprowadzonych do obrotu lub udostępnionych na rynku, zwłaszcza produktów z elementami cyfrowymi często stwarzających ryzyko w cyberprzestrzeni.

Komisja lub ENISA proponują przeprowadzenie przez organy nadzoru rynku wspólnych działań z zakresu kontroli zgodności z niniejszym rozporządzeniem na podstawie wskazań lub informacji w szeregu państw członkowskich o potencjalnej niezgodności produktów z elementami cyfrowymi objętych zakresem stosowania niniejszego rozporządzenia z określonymi w nim wymogami.

Organy nadzoru rynku oraz, w stosownych przypadkach, Komisja zapewniają, by porozumienie o wspólnych działaniach nie prowadziło do nieuczciwej konkurencji między podmiotami gospodarczymi ani nie wpływało negatywnie na obiektywizm, niezależność i bezstronność stron porozumienia.

Organ nadzoru rynku może wykorzystać wszelkie informacje uzyskane w wyniku wspólnych działań prowadzonych w ramach wszczętego przezeń postępowania przygotowawczego.

Dany organ nadzoru rynku oraz, w stosownych przypadkach, Komisja udostępniają publicznie porozumienie o wspólnych działaniach, w tym nazwy uczestniczących stron.

Artykuł 60

Akcje kontrolne

Organy nadzoru rynku prowadzą jednoczesne skoordynowane akcje kontrolne dotyczące określonych produktów z elementami cyfrowymi lub ich kategorii w celu sprawdzenia zgodności z niniejszym rozporządzeniem lub wykrycia jego naruszeń. Akcje kontrolne mogą obejmować kontrole produktów z elementami cyfrowymi nabytych pod ukrytą tożsamością.

Akcje kontrolne koordynuje Komisja, chyba że uczestniczące w nich organy nadzoru rynku uzgodnią inaczej. Koordynator akcji kontrolnej w stosownych przypadkach podaje zagregowane wyniki do publicznej wiadomości.

Jeżeli wykonując swoje zadania, w tym na podstawie zgłoszeń otrzymanych zgodnie z art. 14 ust. 1 i 3, ENISA wykryje kategorie produktów z elementami cyfrowymi, dla których można organizować akcje kontrolne, przedkłada propozycję akcji kontrolnej koordynatorowi, o którym mowa w ust. 2 niniejszego artykułu, do rozpatrzenia przez organy nadzoru rynku.

Prowadząc akcje kontrolne, uczestniczące w nich organy nadzoru rynku mogą korzystać z uprawnień w zakresie postępowania przygotowawczego określonych w art. 52–58 i wszelkich innych uprawnień nadanych im na mocy przepisów prawa krajowego.

Organy nadzoru rynku mogą zapraszać do udziału w akcjach kontrolnych urzędników Komisji i inne osoby towarzyszące upoważnione przez Komisję.

ROZDZIAŁ VI

PRZEKAZANE UPRAWNIENIA I PROCEDURA KOMITETOWA

Artykuł 61

Wykonywanie przekazanych uprawnień

Powierzenie Komisji uprawnień do przyjmowania aktów delegowanych podlega warunkom określonym w niniejszym artykule.

Uprawnienia do przyjmowania aktów delegowanych, o których mowa w art. 2 ust. 5 akapit drugi, art. 7 ust. 3, art. 8 ust. 1 i 2, art. 13 ust. 8 akapit czwarty, art. 14 ust. 9, art. 25, art. 27 ust. 9, art. 28 ust. 5 i art. 31 ust. 5, powierza się Komisji na okres pięciu lat od dnia 10 grudnia 2024 r. Komisja sporządza sprawozdanie dotyczące przekazania uprawnień nie później niż dziewięć miesięcy przed końcem okresu pięciu lat. Przekazanie uprawnień zostaje automatycznie przedłużone na takie same okresy, chyba że Parlament Europejski lub Rada sprzeciwią się takiemu przedłużeniu nie później niż trzy miesiące przed końcem każdego okresu.

Przekazanie uprawnień, o którym mowa w art. 2 ust. 5 akapit drugi, art. 7 ust. 3, art. 8 ust. 1 i 2, art. 13 ust. 8 akapit czwarty, art. 14 ust. 9, art. 25, art. 27 ust. 9, art. 28 ust. 5 i art. 31 ust. 5, może zostać w dowolnym momencie odwołane przez Parlament Europejski lub przez Radę. Decyzja o odwołaniu kończy przekazanie określonych w niej uprawnień. Decyzja o odwołaniu staje się skuteczna następnego dnia po jej opublikowaniu w Dzienniku Urzędowym Unii Europejskiej lub w późniejszym terminie określonym w tej decyzji. Nie wpływa ona na ważność już obowiązujących aktów delegowanych.

Przed przyjęciem aktu delegowanego Komisja konsultuje się z ekspertami wyznaczonymi przez każde państwo członkowskie zgodnie z zasadami określonymi w Porozumieniu międzyinstytucjonalnym w sprawie lepszego stanowienia prawa z dnia 13 kwietnia 2016 r.

Niezwłocznie po przyjęciu aktu delegowanego Komisja przekazuje go równocześnie Parlamentowi Europejskiemu i Radzie.

Akt delegowany przyjęty na podstawie art. 2 ust. 5 akapit drugi, art. 7 ust. 3, art. 8 ust. 1 lub 2, art. 13 ust. 8 akapit czwarty, art. 14 ust. 9, art. 25, art. 27 ust. 9, art. 28 ust. 5 lub art. 31 ust. 5 wchodzi w życie tylko wówczas, gdy ani Parlament Europejski, ani Rada nie wyraziły sprzeciwu w terminie dwóch miesięcy od przekazania tego aktu Parlamentowi Europejskiemu i Radzie lub gdy, przed upływem tego terminu, zarówno Parlament Europejski, jak i Rada poinformowały Komisję, że nie wniosą sprzeciwu. Termin ten przedłuża się o dwa miesiące z inicjatywy Parlamentu Europejskiego lub Rady.

Artykuł 62

Procedura komitetowa

Komisję wspomaga komitet. Komitet ten jest komitetem w rozumieniu rozporządzenia (UE) nr 182/2011.

W przypadku odesłania do niniejszego ustępu stosuje się art. 5 rozporządzenia (UE) nr 182/2011.

W przypadku gdy opinia komitetu ma zostać uzyskana w drodze procedury pisemnej, procedura ta kończy się bez osiągnięcia rezultatu, gdy – przed upływem terminu na wydanie opinii – zdecyduje o tym przewodniczący komitetu lub wniesie o to członek komitetu.

ROZDZIAŁ VII

POUFNOŚĆ I KARY

Artykuł 63

Poufność

Wszystkie strony zaangażowane w stosowanie niniejszego rozporządzenia przestrzegają zasady poufności informacji i danych uzyskanych podczas wykonywania swoich zadań i swojej działalności w taki sposób, aby chronić w szczególności:

prawa własności intelektualnej oraz poufne informacje handlowe lub tajemnice przedsiębiorstwa osoby fizycznej lub prawnej, w tym kod źródłowy, chyba że zastosowanie mają przypadki określone w art. 5 dyrektywy Parlamentu Europejskiego i Rady (UE) 2016/943 ( 2 );

skuteczne wdrożenie niniejszego rozporządzenia, zwłaszcza do celów inspekcji, postępowań przygotowawczych lub audytów;

interesy bezpieczeństwa publicznego i narodowego;

uczciwy przebieg postępowań karnych i administracyjnych.

Nie naruszając przepisów ust. 1, informacji wymienianych na zasadzie poufności między organami nadzoru rynku oraz między organami nadzoru rynku a Komisją nie ujawnia się bez uprzedniej zgody organu nadzoru rynku, od którego informacje te pochodzą.

Ust. 1 i 2 pozostają bez uszczerbku dla praw i obowiązków Komisji, państw członkowskich i jednostek notyfikowanych w zakresie wymiany informacji i wydawania ostrzeżeń oraz obowiązków zainteresowanych osób w zakresie udzielania informacji zgodnie z prawem karnym państw członkowskich.

W stosownych przypadkach Komisja i państwa członkowskie mogą wymieniać się informacjami szczególnie chronionymi z odpowiednimi organami państw trzecich, z którymi zawarły dwustronne lub wielostronne porozumienia o poufności gwarantujące odpowiedni stopień ochrony.

Artykuł 64

Kary

Państwa członkowskie ustanawiają przepisy dotyczące kar za naruszenie przepisów niniejszego rozporządzenia i stosują wszelkie środki niezbędne do zapewnienia ich wykonywania. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające. Państwa członkowskie powiadamiają niezwłocznie Komisję o tych przepisach i środkach oraz o wszelkich późniejszych zmianach w nich.

Niezgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I oraz z obowiązkami określonymi w art. 13 i 14 podlega administracyjnej karze pieniężnej w wysokości do 15 000 000 EUR lub, jeżeli za naruszenie odpowiada przedsiębiorstwo – w wysokości do 2,5 % jego łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.

Niezgodność z obowiązkami określonymi w art. 18–23, art. 28, art. 30 ust. 1–4, art. 31 ust. 1–4, art. 32 ust. 1, 2 i 3, art. 33 ust. 5, art. 39, 41, 47, 49 i 53 podlega administracyjnej karze pieniężnej w wysokości do 10 000 000 EUR lub, jeżeli za naruszenie odpowiada przedsiębiorstwo – w wysokości do 2 % jego łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.

Przekazywanie jednostkom notyfikowanym i organom nadzoru rynku w odpowiedzi na ich wniosek informacji nieprawidłowych, niekompletnych lub wprowadzających w błąd podlega administracyjnej karze pieniężnej w wysokości do 5 000 000 EUR lub, jeżeli za naruszenie odpowiada przedsiębiorstwo – w wysokości do 1 % jego łącznego rocznego światowego obrotu z poprzedniego roku obrotowego, w zależności od tego, która z tych kwot jest wyższa.

Ustalając wysokość administracyjnej kary pieniężnej, w każdym indywidualnym przypadku uwzględnia się wszystkie istotne okoliczności danej sytuacji i zwraca się należytą uwagę na następujące kwestie:

charakter, wagę i czas trwania naruszenia oraz jego konsekwencje;

czy te same lub inne organy nadzoru rynku nałożyły już na ten sam podmiot gospodarczy administracyjne kary pieniężne za podobne naruszenie;

wielkość podmiotu gospodarczego dopuszczającego się naruszenia, zwłaszcza w przypadku mikroprzedsiębiorstw oraz małych i średnich przedsiębiorstw, w tym przedsiębiorstw typu start-up, a także jego udział w rynku.

Organy nadzoru rynku, które stosują administracyjne kary pieniężne, przekazują informacje o ich nałożeniu organom nadzoru rynku pozostałych państw członkowskich za pośrednictwem systemu informacyjnego i komunikacyjnego, o którym mowa w art. 34 rozporządzenia (UE) 2019/1020.

Każde państwo członkowskie określa, czy i w jakim zakresie administracyjne kary pieniężne można nakładać na organy i podmioty publiczne ustanowione w tym państwie członkowskim.

W zależności od systemu prawnego państw członkowskich przepisy dotyczące administracyjnych kar pieniężnych można stosować w taki sposób, że kary nakładają właściwe sądy krajowe lub inne odpowiednie organy zgodnie z kompetencjami ustanowionymi na poziomie krajowym w tych państwach członkowskich. Stosowanie takich przepisów w tych państwach członkowskich ma skutek równoważny.

Administracyjne kary pieniężne można nakładać, w zależności od okoliczności każdego indywidualnego przypadku, oprócz wszelkich innych środków naprawczych lub ograniczających stosowanych przez organy nadzoru rynku w odniesieniu do tego samego naruszenia.

10.

►C1 Na zasadzie odstępstwa od ust. 2–9 administracyjne kary pieniężne, o których mowa w tych ustępach, nie mają zastosowania do: ◄

producentów kwalifikujących się jako mikroprzedsiębiorstwa lub małe przedsiębiorstwa w przypadku niedotrzymania terminu, o którym mowa w art. 14 ust. 2 lit. a) lub art. 14 ust. 4 lit. a);

wszelkich naruszeń niniejszego rozporządzenia przez opiekunów oprogramowania otwartego.

Artykuł 65

Powództwa przedstawicielskie

Do powództw przedstawicielskich wytaczanych przeciwko podmiotom gospodarczym za naruszenia przepisów niniejszego rozporządzenia szkodzące lub mogące szkodzić zbiorowym interesom konsumentów zastosowanie ma dyrektywa (UE) 2020/1828.

ROZDZIAŁ VIII

PRZEPISY PRZEJŚCIOWE I KOŃCOWE

Artykuł 66

Zmiana w rozporządzeniu (UE) 2019/1020

W załączniku I do rozporządzenia (UE) 2019/1020 dodaje się punkt w brzmieniu:

„72.

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 ( *1 ).

Artykuł 67

Zmiana dyrektywy (UE) 2020/1828

W załączniku I do dyrektywy (UE) 2020/1828 dodaje się punkt w brzmieniu:

„69)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2487 ( *2 ).

Artykuł 68

Zmiana rozporządzenia (UE) nr 168/2013

W części C1 w tabeli w załączniku II do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 168/2013 ( 3 ) dodaje się pozycję w brzmieniu:

„

ochrona pojazdu przed cyberatakami

”

Artykuł 69

Przepisy przejściowe

Certyfikaty badania typu UE i decyzje o zatwierdzeniu wydane w odniesieniu do wymagań w zakresie cyberbezpieczeństwa dotyczących produktów z elementami cyfrowymi, które podlegają unijnemu prawodawstwu harmonizacyjnemu innemu niż niniejsze rozporządzenie, zachowują ważność do dnia 11 czerwca 2028 r., chyba że ich ważność wygasa przed tą datą lub że określono inaczej w tym innym prawodawstwie harmonizacyjnym Unii, kiedy to zachowują ważność zgodnie z tym prawodawstwem.

Produkty z elementami cyfrowymi, które wprowadzono do obrotu przed dniem 11 grudnia 2027 r., podlegają wymaganiom określonym w niniejszym rozporządzeniu tylko wtedy, gdy po tej dacie nastąpią istotne modyfikacje tych produktów.

Na zasadzie odstępstwa od ust. 2 niniejszego artykułu obowiązki określone w art. 14 stosuje się do wszystkich produktów z elementami cyfrowymi objętych zakresem stosowania niniejszego rozporządzenia, które wprowadzono do obrotu przed dniem 11 grudnia 2027 r.

Artykuł 70

Ocena i przegląd

Do dnia 11 grudnia 2030 r., a następie co cztery lata Komisja przedkłada Parlamentowi Europejskiemu i Radzie sprawozdania z oceny i przeglądu niniejszego rozporządzenia. Sprawozdania te są podawane do wiadomości publicznej.

Do dnia 11 września 2028 r. Komisja, po konsultacji z ENISA i siecią CSIRT, przedkłada Parlamentowi Europejskiemu i Radzie sprawozdanie oceniające skuteczność jednolitej platformy sprawozdawczej, o której mowa w art. 16, a także wpływ stosowania przez wyznaczonych na koordynatorów CSIRT-y względów cyberbezpieczeństwa, o których mowa w art. 16 ust. 2, na skuteczność jednolitej platformy sprawozdawczej pod kątem terminowego rozpowszechniania otrzymanych zgłoszeń wśród innych odpowiednich CSIRT-ów.

Artykuł 71

Wejście w życie i rozpoczęcie stosowania

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 11 grudnia 2027 r.

Art. 14 stosuje się jednak od dnia 11 września 2026 r., a rozdział IV (art. 35–51) stosuje się od dnia 11 czerwca 2026 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

ZAŁĄCZNIK I

ZASADNICZE WYMAGANIA W ZAKRESIE CYBERBEZPIECZEŃSTWA

Część I Wymagania w zakresie cyberbezpieczeństwa dotyczące cech produktów z elementami cyfrowymi

1) Produkty z elementami cyfrowymi należy projektować, opracowywać i produkować tak, by zapewniały odpowiedni poziom cyberbezpieczeństwa stosownie do ryzyka;

2) Na podstawie oceny ryzyka w cyberprzestrzeni, o której mowa w art. 13 ust. 2, i w stosownych przypadkach produkty z elementami cyfrowymi:

są udostępniane bez żadnych znanych i możliwych do wykorzystania podatności;

są udostępniane na rynku w bezpiecznej konfiguracji domyślnej, obejmującej możliwość zresetowania produktu do stanu pierwotnego, chyba że producent i użytkownik biznesowy uzgodnią inaczej w odniesieniu do produktu z elementami cyfrowymi dostosowanego do indywidualnych potrzeb;

zapewniają możliwość eliminowania podatności przez aktualizacje zabezpieczeń, w tym w stosownych przypadkach automatyczne aktualizacje zabezpieczeń instalowane w odpowiednim czasie dzięki ustawieniom domyślnym, z jasnym i łatwym do zastosowania mechanizmem opt-out oraz z powiadamianiem użytkowników o dostępnych aktualizacjach oraz możliwości ich tymczasowego odroczenia;

zapewniają ochronę przed nieuprawnionym dostępem dzięki odpowiednim mechanizmom kontroli, w tym między innymi systemom uwierzytelniania, identyfikacji lub zarządzania dostępem, a także raportowania o potencjalnym nieuprawnionym dostępie;

zapewniają ochronę poufności przechowywanych, przekazywanych lub w inny sposób przetwarzanych danych, w tym danych osobowych lub innych, w tym przez szyfrowanie odpowiednich danych odłożonych lub danych przesyłanych z wykorzystaniem najnowocześniejszych mechanizmów oraz przez zastosowanie innych środków technicznych;

zapewniają ochronę integralności przechowywanych, przekazywanych lub w inny sposób przetwarzanych danych, w tym danych osobowych lub innych, komend, programów i konfiguracji przed wszelką manipulacją lub modyfikacją nieautoryzowaną przez użytkownika, a także powiadamiają o uszkodzeniach danych;

przetwarzają tylko te dane, w tym dane osobowe lub inne, które są adekwatne, stosowne oraz ograniczone do tego, co niezbędne w związku z przeznaczeniem produktu z elementami cyfrowymi (minimalizacja danych);

zapewniają ochronę dostępności najważniejszych i podstawowych funkcji, również po incydencie, w tym dzięki odporności na ataki typu „odmowa usługi” i środkom łagodzącym ich skutki;

minimalizują negatywny wpływ samych produktów lub urządzeń podłączonych do internetu na dostępność usług dostarczanych przez inne urządzenia lub sieci;

są projektowane, opracowywane i produkowane tak, by ograniczyć powierzchnię ataku, w tym interfejsów zewnętrznych;

są projektowane, opracowywane i produkowane tak, by zmniejszyć wpływ incydentu przy użyciu odpowiednich mechanizmów i technik łagodzenia skutków wykorzystania;

dostarczają informacje związane z bezpieczeństwem dzięki rejestrowaniu i monitorowaniu odpowiedniej aktywności wewnętrznej, w tym dostępu do danych, usług lub funkcji lub ich modyfikacji, z mechanizmem opt-out dla użytkownika;

dają użytkownikom możliwość bezpiecznego i łatwego usuwania na stałe wszystkich danych i ustawień, a jeżeli takie dane mogą być przekazywane do innych produktów lub systemów, zapewniają, że odbywa się to bezpiecznie.

Część II Wymagania dotyczące postępowania w przypadku wykrycia podatności

Producenci produktów z elementami cyfrowymi mają obowiązek:

identyfikowania i dokumentowania podatności i komponentów zawartych w produkcie z elementami cyfrowymi, w tym przez sporządzenie zestawienia podstawowych materiałów do produkcji oprogramowania w powszechnie używanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu produktów;

w odniesieniu do ryzyka, jakie stwarzają produkty z elementami cyfrowymi – bezzwłocznego reagowania na podatności i ich eliminowania, w tym przez udostępnianie aktualizacji zabezpieczeń; jeżeli jest to technicznie wykonalne, nowe aktualizacje zabezpieczeń dostarcza się oddzielnie od aktualizacji funkcji;

przeprowadzania skutecznych i regularnych testów i przeglądów bezpieczeństwa produktu z elementami cyfrowymi;

po udostępnieniu aktualizacji zabezpieczeń – udostępniania i publicznego ujawniania informacji o naprawionych podatnościach, w tym opisu podatności, informacji pozwalających użytkownikom zidentyfikować produkt z elementami cyfrowymi, którego te podatności dotyczą, skutków podatności i ich dotkliwości, a także jasnych i dostępnych informacji pomagających użytkownikom wyeliminować podatności; w należycie uzasadnionych przypadkach, jeżeli producenci uznają, że ryzyko dla bezpieczeństwa związane z publikacją przewyższa korzyści w zakresie bezpieczeństwa, mogą opóźnić podanie do wiadomości publicznej informacji o naprawionych podatnościach do czasu, gdy użytkownicy będą mogli wprowadzić odpowiednią poprawkę (patch);

wprowadzania i egzekwowania polityki skoordynowanego ujawniania podatności;

przyjmowania środków ułatwiających wymianę informacji o potencjalnych podatnościach w ich produkcie z elementami cyfrowymi, a także w komponentach strony trzeciej zawartych w tym produkcie, w tym przez udostępnienie adresu do kontaktu służącego do zgłaszania podatności wykrytych w produkcie z elementami cyfrowymi;

zapewniania mechanizmów bezpiecznej dystrybucji aktualizacji zabezpieczeń produktów z elementami cyfrowymi w celu zapewnienia naprawy lub ograniczenia podatności w odpowiednim czasie, a w przypadku aktualizacji zabezpieczeń – automatycznie;

zapewniania – gdy dostępne są aktualizacje zabezpieczeń służące rozwiązaniu zidentyfikowanych problemów bezpieczeństwa – ich rozpowszechniania bezzwłocznie i bezpłatnie, chyba że producent i użytkownik biznesowy uzgodnią inaczej w odniesieniu do produktu z elementami cyfrowymi dostosowanego do indywidualnych potrzeb, wraz z komunikatami doradczymi zawierającymi odpowiednie informacje dla użytkowników, w tym o potencjalnych działaniach, które należy podjąć.

ZAŁĄCZNIK II

INFORMACJE I INSTRUKCJE DLA UŻYTKOWNIKÓW

Produktowi z elementami cyfrowymi muszą towarzyszyć co najmniej następujące informacje:

imię i nazwisko lub nazwa, zarejestrowana nazwa handlowa lub zarejestrowany znak towarowy producenta oraz adres pocztowy, adres e-mail lub inna cyfrowa forma kontaktu, a jeżeli jest dostępna – również strona internetowa, za pomocą której można skontaktować się z producentem;

pojedynczy punkt kontaktowy, w którym można zgłosić i otrzymać informacje o podatnościach produktu z elementami cyfrowymi oraz o tym, gdzie można się zapoznać z polityką producenta w zakresie skoordynowanego ujawniania podatności;

nazwa i rodzaj oraz wszelkie dodatkowe informacje umożliwiające jednoznaczną identyfikację produktu z elementami cyfrowymi;

przeznaczenie produktu z elementami cyfrowymi, w tym środowisko bezpieczeństwa zapewnione przez producenta, a także zasadnicze funkcje produktu i informacje o zabezpieczeniach;

wszelkie znane lub dające się przewidzieć okoliczności wykorzystania produktu z elementami cyfrowymi zgodnie z przeznaczeniem lub w warunkach racjonalnie przewidywalnego niewłaściwego wykorzystania, które mogą powodować istotne ryzyko w cyberprzestrzeni;

w stosownych przypadkach adres strony internetowej, na której jest dostępna deklaracja zgodności UE;

rodzaj wsparcia technicznego w zakresie bezpieczeństwa oferowanego przez producenta oraz data zakończenia okresu wsparcia, przez który użytkownicy mogą spodziewać się, że podatności zostaną usunięte i otrzymywania aktualizacji zabezpieczeń;

szczegółowe instrukcje lub adres strony internetowej z takimi szczegółowymi instrukcjami oraz informacjami na temat:

środków niezbędnych do zapewnienia bezpiecznego użytkowania produktu z elementami cyfrowymi przy pierwszym uruchomieniu oraz przez cały okres użytkowania;

możliwego wpływu zmian w produkcie z elementami cyfrowymi na bezpieczeństwo danych;

sposobu instalowania aktualizacji istotnych dla bezpieczeństwa;

bezpiecznego wycofania produktu z elementami cyfrowymi z użytku, w tym informacji o tym, jak bezpiecznie usunąć dane użytkownika;

wyłączenia ustawień domyślnych umożliwiających automatyczną instalację aktualizacji zabezpieczeń, zgodnie z wymaganiami załącznika I część I pkt 2 lit. c);

jeżeli produkt z elementami cyfrowymi ma być integrowany z innymi produktami z elementami cyfrowymi – informacje niezbędne osobie integrującej do spełnienia zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I oraz wymagań dotyczących dokumentacji określonych w załączniku VII;

jeżeli producent zdecyduje, że udostępni użytkownikowi zestawienie podstawowych materiałów do produkcji oprogramowania, informacje o tym, gdzie można uzyskać dostęp do tego zestawienia.

ZAŁĄCZNIK III

WAŻNE PRODUKTY Z ELEMENTAMI CYFROWYMI

Klasa I

1. Oprogramowanie systemów zarządzania tożsamością i zarządzania uprzywilejowanym dostępem oraz odpowiedni sprzęt, w tym czytniki do uwierzytelniania i kontroli dostępu, także biometryczne

2. Samodzielne i wbudowane przeglądarki

3. Menedżery haseł

4. Oprogramowanie, które wyszukuje, usuwa lub poddaje kwarantannie złośliwe oprogramowanie

5. Produkty z elementami cyfrowymi z funkcją wirtualnej sieci prywatnej (VPN)

6. Systemy zarządzania siecią

7. Systemy zarządzania informacjami i zdarzeniami zabezpieczeń (SIEM)

8. Menedżery uruchamiania systemu

9. Infrastruktura klucza publicznego i oprogramowanie do wystawiania certyfikatów cyfrowych

10. Fizyczne i wirtualne interfejsy sieciowe

11. Systemy operacyjne

12. Routery, modemy przeznaczone do podłączenia do internetu oraz przełączniki

13. Mikroprocesory z funkcjami bezpieczeństwa

14. Mikrokontrolery z funkcjami bezpieczeństwa

15. Specjalizowane układy scalone (ASIC) i bezpośrednio programowalne macierze bramek (FPGA) z funkcjami bezpieczeństwa

16. Wirtualni asystenci inteligentnego domu ogólnego przeznaczenia

17. Produkty inteligentnego domu z funkcjami bezpieczeństwa, w tym inteligentne zamki do drzwi, kamery systemów bezpieczeństwa, nianie elektroniczne i systemy alarmowe

18. Zabawki podłączone do internetu objęte dyrektywą Parlamentu Europejskiego i Rady 2009/48/WE ( 4 ) z interaktywnymi funkcjami społecznymi (np. mówienie lub filmowanie) lub z funkcją śledzenia lokalizacji

19. Produkty do noszenia lub umieszczania na ciele ludzkim mające monitorować stan zdrowia (np. śledzące aktywność fizyczną), do których nie stosuje się rozporządzenia (UE) 2017/745 ani rozporządzenia (UE) 2017/746, lub przedmioty osobiste do noszenia na ciele, które mają być używane przez dzieci i dla dzieci

Klasa II

1. Hiperwizory i systemy środowiska uruchomieniowego, które wspomagają zwirtualizowane wykonanie systemów operacyjnych i podobnych środowisk

2. Zapory sieciowe, systemy wykrywania włamań lub zapobiegania włamaniom

3. Mikroprocesory odporne na manipulacje

4. Mikrokontrolery odporne na manipulacje

ZAŁĄCZNIK IV

PRODUKTY KRYTYCZNE Z ELEMENTAMI CYFROWYMI

1. Urządzenia sprzętowe ze skrzynkami zabezpieczającymi

2. Bramy inteligentnych liczników w inteligentnych systemach pomiarowych zdefiniowanych w art. 2 pkt 23 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/944 ( 5 ) oraz inne urządzenia do zaawansowanych celów bezpieczeństwa, w tym do bezpiecznego kryptoprzetwarzania

3. Karty inteligentne lub podobne urządzenia, w tym elementy zabezpieczające

ZAŁĄCZNIK V

DEKLARACJA ZGODNOŚCI UE

W deklaracji zgodności UE, o której mowa w art. 28, należy zamieścić wszystkie następujące informacje:

nazwę i rodzaj oraz wszelkie dodatkowe informacje umożliwiające jednoznaczną identyfikację produktu z elementami cyfrowymi

nazwę lub imię i nazwisko oraz adres producenta lub jego upoważnionego przedstawiciela

oświadczenie, że deklarację zgodności UE wydano na wyłączną odpowiedzialność dostawcy

przedmiot deklaracji (identyfikacja produktu z elementami cyfrowymi umożliwiająca identyfikowalność, w stosownych przypadkach wraz z fotografią)

oświadczenie, że opisany powyżej przedmiot deklaracji jest zgodny z odpowiednimi wymaganiami unijnego prawodawstwa harmonizacyjnego

odniesienia do wszelkich zastosowanych odpowiednich norm zharmonizowanych lub wszelkich innych wspólnych specyfikacji lub certyfikacji cyberbezpieczeństwa, z którymi deklaruje się zgodność

w stosownych przypadkach nazwę i numer jednostki notyfikowanej, opis przeprowadzonej procedury oceny zgodności oraz dane identyfikacyjne wydanego certyfikatu

informacje dodatkowe:

Podpisano w imieniu:

(miejsce i data wydania):

(imię i nazwisko, stanowisko) (podpis):

ZAŁĄCZNIK VI

UPROSZCZONA DEKLARACJA ZGODNOŚCI UE

Uproszczoną deklarację zgodności UE, o której mowa w art. 13 ust. 20, składa się w następującej formie:

… [nazwa producenta] niniejszym oświadcza, że produkt z elementami cyfrowymi typu … [nazwa typu produktu z elementem cyfrowym] jest zgodny z rozporządzeniem (UE) 2024/2847 ( 6 ).

Pełny tekst deklaracji zgodności UE jest dostępny pod następującym adresem internetowym: …

ZAŁĄCZNIK VII

ZAWARTOŚĆ DOKUMENTACJI TECHNICZNEJ

Dokumentacja techniczna, o której mowa w art. 31, musi zawierać co najmniej te spośród następujących informacji, które mają zastosowanie do danego produktu z elementami cyfrowymi:

ogólny opis produktu z elementami cyfrowymi, w tym:

jego przeznaczenie;

wersje oprogramowania mające wpływ na zgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa;

jeżeli produkt z elementami cyfrowymi jest sprzętem – zdjęcia lub ilustracje przedstawiające cechy zewnętrzne, oznakowanie i układ wewnętrzny;

informacje i instrukcje dla użytkowników zgodnie z treścią załącznika II;

opis projektowania, opracowywania i produkcji produktu z elementami cyfrowymi oraz procedur postępowania w przypadku wykrycia podatności, w tym:

niezbędne informacje o projektowaniu i opracowaniu produktu z elementami cyfrowymi, w tym w stosownych przypadkach rysunki i schematy lub opis architektury systemu wyjaśniający, jak elementy oprogramowania współgrają ze sobą lub wzajemnie się uzupełniają oraz włączają się w ogólne przetwarzanie;

niezbędne informacje i specyfikacje wprowadzonych przez producenta procedur postępowania w przypadku wykrycia podatności, w tym zestawienie podstawowych materiałów do produkcji oprogramowania, politykę skoordynowanego ujawniania podatności, dowód, że podano adres do kontaktu do celów zgłaszania podatności, oraz opis rozwiązań technicznych wybranych na potrzeby bezpiecznej dystrybucji aktualizacji;

niezbędne informacje i specyfikacje dotyczące procesów produkcji i monitorowania produktu z elementami cyfrowymi oraz walidacji tych procesów;

ocenę ryzyka w cyberprzestrzeni, na wypadek którego zaprojektowano, opracowano, wyprodukowano, dostarczono i utrzymywano produkt z elementami cyfrowymi, zgodnie z art. 13, w tym w jakim sposób mają zastosowanie zasadnicze wymagania w zakresie cyberbezpieczeństwa określone załączniku I część I;

istotne informacje uwzględnione przy określaniu dla produktu z elementami cyfrowymi okresu wsparcia, o którym mowa w art. 13 ust. 8;

wykaz norm zharmonizowanych stosowanych w całości lub w części, do których odniesienia opublikowano w Dzienniku Urzędowym Unii Europejskiej, wspólne specyfikacje określone w art. 27 niniejszego rozporządzenia lub europejskie programy certyfikacji cyberbezpieczeństwa przyjęte zgodnie z rozporządzeniem (UE) 2019/881 według art. 27 ust. 8 niniejszego rozporządzenia oraz – jeżeli nie zastosowano takich norm zharmonizowanych, wspólnych specyfikacji lub europejskich systemów certyfikacji cyberbezpieczeństwa – opisy rozwiązań przyjętych w celu spełnienia zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I część I i II, w tym wykaz innych odpowiednich zastosowanych specyfikacji technicznych; w przypadku częściowego zastosowania norm zharmonizowanych, wspólnych specyfikacji lub europejskich programów certyfikacji cyberbezpieczeństwa w dokumentacji technicznej należy określić, które części zastosowano;

sprawozdania z prób przeprowadzonych w celu weryfikacji zgodności produktu z elementami cyfrowymi oraz procedur postępowania w przypadku wykrycia podatności z mającymi zastosowanie zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I i II;

kopię deklaracji zgodności UE;

w stosownych przypadkach zestawienie podstawowych materiałów do produkcji oprogramowania, na uzasadniony wniosek organu nadzoru rynku, pod warunkiem że jest to niezbędne, aby organ ten mógł sprawdzić zgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I.

ZAŁĄCZNIK VIII

PROCEDURY OCENY ZGODNOŚCI

Część I Procedura oceny zgodności opierająca się na kontroli wewnętrznej (zgodnie z modułem A)

1. Kontrola wewnętrzna jest procedurą oceny zgodności, w której producent wypełnia obowiązki określone w pkt 2, 3 i 4 niniejszej części oraz zapewnia i deklaruje na swoją wyłączną odpowiedzialność, że produkt z elementami cyfrowymi spełnia wszystkie zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część I, a producent spełnia zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część II.

2. Producent sporządza dokumentację techniczną określoną w załączniku VII.

3. Projektowanie, opracowywanie i produkcja produktów z elementami cyfrowymi oraz postępowanie w przypadku wykrycia podatności

Producent stosuje wszelkie środki niezbędne, aby projektowanie, opracowywanie, produkcja i procedury postępowania w przypadku wykrycia podatności i ich monitoring zapewniały zgodność produkowanych lub opracowywanych produktów z elementami cyfrowymi i wprowadzonych przez producenta procedur z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I i II.

4. Oznakowanie zgodności i deklaracja zgodności

4.1. Producent umieszcza oznakowanie CE na każdym produkcie z elementami cyfrowymi spełniającym mające zastosowanie wymagania określone w niniejszym rozporządzeniu.

4.2. Producent sporządza pisemną deklarację zgodności UE dla każdego produktu z elementami cyfrowymi zgodnie z art. 28 i przechowuje ją wraz z dokumentacją techniczną do dyspozycji organów krajowych przez okres 10 lat po wprowadzeniu do obrotu danego produktu z elementami cyfrowymi lub przez przewidywany okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy. W deklaracji zgodności UE należy wskazać produkt z elementami cyfrowymi, dla którego ją sporządzono. Kopię deklaracji zgodności UE udostępnia się na żądanie właściwym organom.

5. Upoważnieni przedstawiciele

Obowiązki producenta określone w pkt 4 mogą być, w jego imieniu i na jego odpowiedzialność, wypełniane przez upoważnionego przedstawiciela, pod warunkiem że zostały dane obowiązki określone w pełnomocnictwie.

Część II Badanie typu UE (zgodnie z modułem B)

1. Badanie typu UE jest elementem procedury oceny zgodności, w której jednostka notyfikowana bada projektowanie i opracowywanie techniczne produktu z elementami cyfrowymi oraz wprowadzone przez producenta procedury postępowania w przypadku wykrycia podatności, a także poświadcza, że produkt z elementami cyfrowymi spełnia zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część I, a producent spełnia zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część II.

2. Badanie typu UE polega na ocenie adekwatności projektowania i opracowywania technicznego produktu z elementami cyfrowymi przez zbadanie dokumentacji technicznej i dowodów potwierdzających, o których mowa w pkt 3, oraz zbadanie próbek co najmniej jednej z istotnych części produktu (połączenie typu produkcji i typu projektu).

3. Producent składa wniosek o badanie typu UE w jednej wybranej przez siebie jednostce notyfikowanej.

Wniosek taki zawiera:

3.1.

nazwę lub imię i nazwisko oraz adres producenta, a jeżeli wniosek składa upoważniony przedstawiciel – również nazwę lub imię i nazwisko oraz adres tego upoważnionego przedstawiciela;

3.2.

pisemną deklarację, że tego samego wniosku nie złożono w żadnej innej jednostce notyfikowanej;

3.3.

dokumentację techniczną, która musi umożliwiać przeprowadzenie oceny zgodności produktu z elementami cyfrowymi z mającymi zastosowanie zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I oraz oceny wprowadzonych przez producenta procedur postępowania w przypadku wykrycia podatności określonych w załączniku I część II, a także zawiera odpowiednią analizę i ocenę ryzyka; w dokumentacji technicznej należy określić mające zastosowanie wymagania i ująć, w stopniu właściwym dla oceny, projektowanie, produkcję i działanie produktu z elementami cyfrowymi; w stosownych przypadkach dokumentacja techniczna musi zawierać co najmniej elementy określone w załączniku VII;

3.4.

dowody potwierdzające adekwatność projektowania technicznego i rozwiązań dotyczących opracowywania oraz procedur postępowania w przypadku wykrycia podatności; w dowodach tych należy wymienić wszelkie wykorzystane dokumenty, zwłaszcza jeśli nie zastosowano w pełni odpowiednich norm zharmonizowanych lub specyfikacji technicznych; w razie potrzeby dowody potwierdzające muszą obejmować wyniki testów przeprowadzonych przez odpowiednie laboratorium producenta lub przez inne laboratorium badawcze w jego imieniu i na jego odpowiedzialność.

4. Jednostka notyfikowana:

4.1.

bada dokumentację techniczną i dowody potwierdzające, aby ocenić adekwatność projektowania i opracowywania technicznego produktu z elementami cyfrowymi w odniesieniu do zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I część I oraz wprowadzonych przez producenta procedur postępowania w przypadku wykrycia podatności w odniesieniu do zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I część II;

4.2.

sprawdza czy egzemplarze opracowano lub wyprodukowano zgodnie z dokumentacją techniczną, i wskazuje elementy, które zaprojektowano i opracowano zgodnie z mającymi zastosowanie przepisami odpowiednich norm zharmonizowanych lub specyfikacji technicznych, jak również tych elementów, które zaprojektowano i opracowano bez stosowania odpowiednich przepisów tych norm;

4.3.

prowadzi odpowiednie badania i testy lub zleca ich przeprowadzenia, aby – w przypadku gdy producent zdecydował się na zastosowanie rozwiązań określonych w odpowiednich normach zharmonizowanych lub specyfikacjach technicznych odnoszących się do wymagań przewidzianych w załączniku I – sprawdzić, czy zastosowano je prawidłowo;

4.4.

prowadzi odpowiednie badania i testy lub zleca ich przeprowadzenia, aby – w przypadku gdy nie zastosowano rozwiązań określonych w odpowiednich normach zharmonizowanych lub specyfikacjach technicznych odnoszących się do wymagań przedstawionych w załączniku I – sprawdzić, czy rozwiązania przyjęte przez producenta spełniają odpowiednie zasadnicze wymagania w zakresie cyberbezpieczeństwa;

4.5.

uzgadnia z producentem miejsca, w którym zostaną przeprowadzone badania i testy.

5. Jednostka notyfikowana sporządza sprawozdanie z oceny, w którym odnotowuje działania podjęte zgodnie z pkt 4 i ich rezultaty. Bez uszczerbku dla swoich obowiązków wobec organów notyfikujących jednostka notyfikowana udostępnia treść takiego sprawozdania, w całości lub w części, wyłącznie za zgodą producenta.

6. Jeżeli typ oraz procedury postępowania w przypadku wykrycia podatności spełniają zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I, jednostka notyfikowana wydaje producentowi certyfikat badania typu UE. Certyfikat musi zawierać imię i nazwisko lub nazwę i adres producenta, wnioski z badań, (ewentualne) warunki jego ważności oraz dane niezbędne do identyfikacji zatwierdzonego typu i procedur postępowania w przypadku wykrycia podatności. Do certyfikatu można dołączyć załącznik lub załączniki.

Certyfikat i załączniki do niego zawierają wszystkie istotne informacje umożliwiające ocenę zgodności wyprodukowanych lub opracowanych produktów z elementami cyfrowymi w odniesieniu do badanego typu i procedur postępowania w przypadku wykrycia podatności oraz kontrolę w trakcie eksploatacji.

Jeżeli typ oraz procedury postępowania w przypadku wykrycia podatności nie spełniają mających zastosowanie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I, jednostka notyfikowana odmawia wydania certyfikatu badania typu UE oraz informuje o tym wnioskodawcę, przedstawiając szczegółowe uzasadnienie odmowy.

7. Jednostka notyfikowana śledzi wszelkie zmiany w powszechnie uznanym stanie wiedzy technicznej wskazujące, że zatwierdzony typ oraz zatwierdzone procedury postępowania w przypadku wykrycia podatności mogą nie spełniać już mających zastosowanie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I, oraz musi ustalić, czy zmiany takie wymagają dalszego badania. Jeżeli tak jest, jednostka notyfikowana musi poinformować o tym producenta.

Producent informuje jednostkę notyfikowaną, która przechowuje dokumentację techniczną dotyczącą certyfikatu badania typu UE, o wszystkich modyfikacjach zatwierdzonego typu i zatwierdzonych procedur postępowania w przypadku wykrycia podatności mogących wpływać na zgodność z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I lub warunkami ważności certyfikatu. Takie modyfikacje wymagają dodatkowego zatwierdzenia w formie dodatku do pierwotnego certyfikatu badania typu UE.

8. Jednostka notyfikowana prowadzi audyty okresowe, by zapewnić odpowiednie wdrażanie procesów postępowania w przypadku wykrycia podatności określonych w załączniku I część II.

9. Każda jednostka notyfikowana informuje właściwy organ notyfikujący o certyfikatach badania typu UE i wszelkich dodatkach do nich, które wydała lub cofnęła, oraz, okresowo lub na żądanie, udostępniać właściwemu organowi notyfikującemu wykaz tych certyfikatów i wszelkich dodatków do nich, których wydania odmówiła, które zawiesiła lub objęła innymi ograniczeniami.

Każda jednostka notyfikowana informuje pozostałe jednostki notyfikowane o certyfikatach badania typu UE i wszelkich dodatkach do nich, których wydania odmówiła, które cofnęła, zawiesiła lub objęła innymi ograniczeniami oraz, na żądanie, o certyfikatach i wszelkich dodatkach do nich, które wydała.

Komisja, państwa członkowskie i pozostałe jednostki notyfikowane mogą na żądanie otrzymać kopie certyfikatów badania typu UE lub dodatków do nich. Komisja i państwa członkowskie mogą otrzymać na żądanie kopię dokumentacji technicznej oraz wyniki badań przeprowadzonych przez jednostkę notyfikowaną. Jednostka notyfikowana przechowuje kopie certyfikatu badania typu UE, załączników i dodatków do niego, a także dokumentów technicznych, w tym dokumentacji przedłożonej przez producenta, do czasu wygaśnięcia ważności certyfikatu.

10. Producent przechowuje kopie certyfikatu badania typu UE, załączników i dodatków do niego wraz z dokumentacją techniczną do dyspozycji organów krajowych przez okres 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy.

11. Upoważniony przedstawiciel producenta może złożyć wniosek, o którym mowa w pkt 3, oraz wypełniać obowiązki określone w pkt 7 i 10, pod warunkiem że dane obowiązki zostały określone w upoważnieniu.

Część III Zgodność z typem w oparciu o wewnętrzną kontrolę produkcji (zgodnie z modułem C)

1. Zgodność z typem w oparciu o wewnętrzną kontrolę produkcji to element procedury oceny zgodności, w której producent wypełnia obowiązki określone w pkt 2 i 3 niniejszej części oraz zapewnia i deklaruje, że dane produkty z elementami cyfrowymi są zgodne z typem opisanym w certyfikacie badania typu UE i spełniają zasadnicze wymagania w zakresie cyberbezpieczeństwa przewidziane w załączniku I część I, a producent spełnia zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część II.

2. Produkcja

Producent stosuje wszelkie niezbędne środki, aby proces produkcji i jego monitorowanie zapewniały zgodność wyprodukowanych produktów z elementami cyfrowymi z zatwierdzonym typem opisanym w certyfikacie badania typu UE i z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa przewidzianymi w załączniku I część I, oraz zapewnia spełnianie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I część II.

3. Oznakowanie zgodności i deklaracja zgodności

3.1.

Producent umieszcza oznakowania CE na każdym egzemplarzu produktu z elementami cyfrowymi zgodnym z typem opisanym w certyfikacie badania typu UE i spełniającym mające zastosowanie wymagania określone w niniejszym rozporządzeniu.

3.2.

Producent sporządza pisemną deklarację zgodności dla modelu produktu z elementami cyfrowymi i przechowuje ją do dyspozycji organów krajowych przez okres 10 lat po wprowadzeniu produktu do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy. W deklaracji zgodności należy wskazać produkt, dla którego została ona sporządzona. Kopię deklaracji zgodności należy na żądanie udostępnić właściwym organom.

4. Upoważniony przedstawiciel

Obowiązki producenta określone w pkt 3 mogą być, w jego imieniu i na jego odpowiedzialność, wypełniane przez upoważnionego przedstawiciela, pod warunkiem że dane obowiązki zostały określone w pełnomocnictwie.

Część IV Zgodność oparta na pełnym zapewnieniu jakości (zgodnie z modułem H)

1. Zgodność oparta na pełnym zapewnieniu jakości jest procedurą oceny zgodności, w której producent wypełnia obowiązki określone w pkt 2 i 5 niniejszej części oraz zapewnia i deklaruje na swoją wyłączną odpowiedzialność, że dane produkty lub kategorie produktów z elementami cyfrowymi spełniają zasadnicze wymagania w zakresie cyberbezpieczeństwa określone w załączniku I część I, a wprowadzone przez producenta procedury postępowania w przypadku wykrycia podatności spełniają zasadnicze wymagania określone w załączniku I część II.

2. Projektowanie, opracowywanie, produkcja i postępowanie w przypadku wykrycia podatności w odniesieniu do produktów z elementami cyfrowymi

Producent ma zatwierdzony system jakości określony w pkt 3 w odniesieniu do projektowania i opracowywania danych produktów z elementami cyfrowymi, inspekcji i testowania produktów końcowych, postępowania w przypadku wykrycia podatności oraz utrzymania wydajności tych produktów przez cały okres wsparcia, a także podlega nadzorowi zgodnie z pkt 4.

3. System jakości

3.1.

Producent składa w wybranej przez siebie jednostce notyfikowanej wniosek o ocenę jego systemu jakości dla danych produktów z elementami cyfrowymi.

Wniosek taki zawiera:

nazwę lub imię i nazwisko oraz adres producenta, a jeżeli wniosek składa upoważniony przedstawiciel – również nazwę lub imię i nazwisko oraz adres tego upoważnionego przedstawiciela;

dokumentację techniczną dla jednego modelu każdej kategorii produktów z elementami cyfrowymi, które mają być produkowane lub opracowywane; w stosownych przypadkach dokumentacja techniczna musi zawierać co najmniej elementy określone w załączniku VII;

dokumentację dotyczącą systemu jakości; oraz

pisemną deklarację, że tego samego wniosku nie złożono w żadnej innej jednostce notyfikowanej.

3.2.

System jakości musi zapewniać zgodność produktów z elementami cyfrowymi z zasadniczymi wymaganiami w zakresie cyberbezpieczeństwa określonymi w załączniku I część I oraz zgodność wprowadzonych przez producenta procedur postępowania w przypadku wykrycia podatności z wymaganiami określonymi w załączniku I część II.

Wszystkie elementy, wymagania i środki przyjęte przez producenta muszą być w systematyczny i uporządkowany sposób udokumentowane w formie pisemnych zaleceń, procedur i instrukcji. Dokumentacja systemu jakości musi umożliwiać spójną interpretację programów, planów, ksiąg i zapisów dotyczących jakości.

Dokumentacja ta zawiera w szczególności stosowny opis:

celów jakości i struktury organizacyjnej, obowiązków oraz uprawnień kierownictwa w odniesieniu do projektowania, opracowywania, jakości produktu i postępowania w przypadku wykrycia podatności;

specyfikacji technicznych projektowania i opracowywania, w tym norm, które będą stosowane, oraz – jeżeli dane normy zharmonizowane lub specyfikacje techniczne nie będą stosowane w pełni – środków, które zostaną wprowadzone, by zapewnić spełnienie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I część I mających zastosowanie do produktów z elementami cyfrowymi;

specyfikacji procedur, w tym norm, które będą stosowane, oraz – jeżeli dane normy zharmonizowane lub specyfikacje techniczne nie będą stosowane w pełni – środków, które zostaną wprowadzone, by zapewnić spełnienie zasadniczych wymagań w zakresie cyberbezpieczeństwa określonych w załączniku I część II mających zastosowanie do producenta;

kontroli projektowania i opracowywania oraz technik weryfikacji projektowania i opracowywania, procesów i systematycznych działań, które będą podejmowane podczas projektowania i opracowywania produktów z elementami cyfrowymi należących do danej kategorii produktów;

odpowiednich technik produkcji, kontroli jakości i zapewnienia jakości, procesów i systematycznych działań, które będą podejmowane;

badań i testów, które będą wykonywane przed rozpoczęciem, w trakcie i po zakończeniu produkcji oraz ich częstotliwości;

zapisów dotyczących jakości, takich jak sprawozdania z kontroli i dane z badań, dane dotyczące wzorcowania oraz sprawozdania dotyczące kwalifikacji odpowiedniego personelu;

środków monitorowania osiągania wymaganej jakości projektowania i produktu oraz skutecznego działania systemu jakości.

3.3.

Jednostka notyfikowana ocenia systemu jakości w celu stwierdzenia, czy spełnia on wymagania, o których mowa w pkt 3.2.

Zakłada ona zgodność z tymi wymaganiami w odniesieniu do elementów systemu jakości zgodnych z odpowiednimi specyfikacjami normy krajowej wdrażającej odnośną normę zharmonizowaną lub specyfikację techniczną.

Oprócz doświadczenia w zakresie systemów zarządzania jakością co najmniej jeden członek zespołu audytowego musi mieć doświadczenie z zakresu oceny w dziedzinie danego produktu i danej technologii, a także znać mające zastosowanie wymagania określone w niniejszym rozporządzeniu. Audyt musi obejmować wizytę oceniającą w zakładzie producenta, jeżeli taki zakład istnieje. Zespół audytowy wykonuje przegląd dokumentacji technicznej, o której mowa w pkt 3.1 lit b), by zweryfikować zdolność producenta do identyfikowania mających zastosowanie wymagań określonych w niniejszym rozporządzeniu oraz do prowadzenia badań koniecznych do zapewnienia zgodności produktu z elementami cyfrowymi z tymi wymaganiami.

O decyzji powiadamia się producenta lub jego upoważnionego przedstawiciela.

Powiadomienie takie zawiera wnioski z audytu oraz uzasadnioną decyzję dotyczącą oceny.

3.4.

Producent podejmuje się wypełnienia zobowiązań wynikających z zatwierdzonego systemu jakości oraz utrzymania go w taki sposób, aby pozostawał odpowiedni oraz wydajny.

3.5.

Producent na bieżąco informuje jednostkę notyfikowaną, która zatwierdziła system jakości, o wszelkich zamierzonych modyfikacjach systemu jakości.

Jednostka notyfikowana ocenia proponowane zmiany oraz decyduje, czy zmodyfikowany system jakości nadal będzie spełniał wymagania, o których mowa w pkt 3.2, lub czy konieczna jest ponowna jego ocena.

Powiadamia ona producenta o swojej decyzji. Powiadomienie takie musi zawierać wnioski z badania oraz uzasadnioną decyzję dotyczącą oceny.

4. Nadzór, za który odpowiedzialna jest jednostka notyfikowana

4.1.

Celem nadzoru jest sprawdzenie, czy producent należycie wypełnia obowiązki wynikające z zatwierdzonego systemu jakości.

4.2.

Do celów oceny producent umożliwia jednostce notyfikowanej dostęp do miejsc projektowania, opracowywania, produkcji, kontroli, badań i magazynowania oraz przedstawia wszelkie niezbędne informacje, a w szczególności:

dokumentację systemu jakości;

zapisy dotyczące jakości przewidziane w projektowej części systemu jakości, takie jak wyniki analiz, obliczeń i badań;

zapisy dotyczące jakości przewidziane w produkcyjnej części systemu jakości, takie jak sprawozdania z inspekcji, dane uzyskane podczas badań, dane dotyczące wzorcowania i dane dotyczące kwalifikacji odpowiednich pracowników.

4.3.

Jednostka notyfikowana ma przeprowadza okresowe audyty, by sprawdzić, czy producent utrzymuje i stosuje system jakości, oraz przekazuje producentowi sprawozdania z audytu.

5. Oznakowanie zgodności i deklaracja zgodności

5.1.

Producent umieszcza oznakowania CE oraz, na odpowiedzialność jednostki notyfikowanej, o której mowa w pkt 3.1, jej numer identyfikacyjny na każdym egzemplarzu produktu z elementami cyfrowymi spełniającym wymagania określone w załączniku I część I.

5.2.

Producent sporządza pisemną deklarację zgodności dla każdego modelu produktu i przechowuje ją do dyspozycji organów krajowych przez okres 10 lat po wprowadzeniu produktu z elementami cyfrowymi do obrotu lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy. W deklaracji zgodności należy wskazać produkt, dla którego została ona sporządzona.

Kopię deklaracji zgodności udostępnia się na żądanie właściwym organom.

6. Producent przechowuje do dyspozycji organów krajowych, przez co najmniej 10 lat od wprowadzenia do obrotu produktu z elementami cyfrowymi lub przez okres wsparcia, w zależności od tego, który z tych okresów jest dłuższy, następujące dokumenty:

dokumentację techniczną, o której mowa w pkt 3.1;

dokumentację dotyczącą systemu jakości, o której mowa w pkt 3.1;

zatwierdzoną zmianę, o której mowa w pkt 3.5;

decyzje i sprawozdania jednostki notyfikowanej, o których mowa w pkt 3.5 i 4.3.

7. Każda jednostka notyfikowana informuje odpowiednia organy notyfikujące o wydanych lub cofniętych zatwierdzeniach systemów jakości oraz, okresowo lub na żądanie, udostępnia odpowiednim organom notyfikującym wykaz zatwierdzeń systemów jakości, których wydania odmówiono, które zawieszono lub poddano innym ograniczeniom.

Każda jednostka notyfikowana informuje pozostałe jednostki notyfikowane o zatwierdzeniach systemów jakości, których wydania odmówiła, które cofnęła lub zawiesiła oraz, na żądanie, o zatwierdzeniach systemów jakości, które wydała.

8. Upoważniony przedstawiciel

Obowiązki producenta określone w pkt 3.1, 3.5, 5 i 6 może w jego imieniu i na jego odpowiedzialność wypełniać jego upoważniony przedstawiciel, o ile dane obowiązki zostały określone w pełnomocnictwie.

W odniesieniu do niniejszego aktu złożone zostało oświadczenie, które jest dostępne w Dz.U. C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.

( ) Dyrektywa Parlamentu Europejskiego i Rady 2014/90/UE z dnia 23 lipca 2014 r. w sprawie wyposażenia morskiego i uchylająca dyrektywę Rady 96/98/WE (Dz.U. L 257 z 28.8.2014, s. 146).

( ) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2016/943 z dnia 8 czerwca 2016 r. w sprawie ochrony niejawnego know-how i niejawnych informacji handlowych (tajemnic przedsiębiorstwa) przed ich bezprawnym pozyskiwaniem, wykorzystywaniem i ujawnianiem (Dz.U. L 157 z 15.6.2016, s. 1).

( *1 ) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2847 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) (Dz.U. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).”.

( *2 ) Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2024/2487 z dnia 23 października 2024 r. w sprawie horyzontalnych wymagań w zakresie cyberbezpieczeństwa w odniesieniu do produktów z elementami cyfrowymi oraz w sprawie zmiany rozporządzeń (UE) nr 168/2013 i (UE) 2019/1020 i dyrektywy (UE) 2020/1828 (akt o cyberodporności) (Dz.U. L, 2024/2487, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj).”.

( ) Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 168/2013 z dnia 15 stycznia 2013 r. w sprawie homologacji i nadzoru rynku pojazdów dwu- lub trzykołowych oraz czterokołowców (Dz.U. L 60 z 2.3.2013, s. 52).

( ) Dyrektywa Parlamentu Europejskiego i Rady 2009/48/WE z dnia 18 czerwca 2009 r. w sprawie bezpieczeństwa zabawek (Dz.U. L 170 z 30.6.2009, s. 1).

( ) Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/944 z dnia 5 czerwca 2019 r. w sprawie wspólnych zasad rynku wewnętrznego energii elektrycznej oraz zmieniająca dyrektywę 2012/27/UE (Dz.U. L 158 z 14.6.2019, s. 125).

( ) Dz.U. L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj.