1.   

Tillämpningsområde

1.1   

Detta tillägg innehåller de villkor för tillgång som tillverkaren endast ska tillåtas att fastställa och de förfaranden som fordonstillverkaren ska tillämpa eller endast ska tillåtas att kräva att andra parter tillämpar, i samband med genomförandet av de säkerhetsåtgärder för tillgång till OBD-information som avses i punkt 2.9 a och b i denna bilaga.

1.2   

Hänvisningar i detta tillägg till oberoende aktörer eller till tillverkarens auktoriserade partner, återförsäljare och verkstäder samt till en fordonstillverkare som agerar i syfte att utföra reparationer och underhåll ska omfatta personer eller aktörer som agerar på deras vägnar, såsom en tjänsteleverantör som på distans programmerar, installerar eller aktiverar delar och utrustning i ett fordon åt den oberoende aktören (leverantörer av fjärrtjänster).

2.   

Tillverkarens förpliktelser

2.1   

Fordonstillverkaren ska ansvara för att säkerställa att alla tekniska förutsättningar för tillämpningen av de förfaranden som avses i detta tillägg föreligger, inbegripet åtkomstuppgifter såsom intyg eller programvarutoken och nödvändiga arrangemang med tillverkare av diagnosverktyg.

2.2   

Fordonstillverkaren ska visa för godkännandemyndigheten att fordonet är konstruerat för att möjliggöra tillgång till OBD-information, i enlighet med kraven i detta tillägg, med hjälp av diagnosverktyg för flera märken.

2.3   

Fordonstillverkaren ska förse tillverkarna av diagnosverktyg med den information som avses i punkt 11 i detta tillägg.

2.4   

Fordonstillverkaren ska säkerställa att servrar som används för att möjliggöra tillgång enligt punkt 2.9 i denna bilaga är tillgängliga utan avbrott, utom under exceptionella och oförutsebara omständigheter som ligger utanför fordonstillverkarens kontroll och som inte beror på försummelse från tillverkarens sida, eller som krävs för underhåll av informationssystemet. Vid underhåll får den period då servern är otillgänglig inte överstiga underhållsperioden för någon annan server som tillverkaren använder för att möjliggöra tillgång för de ändamål som avses i punkt 2.9 i denna bilaga. Informationen om det planerade underhållet ska göras tillgänglig för tillverkarna av diagnosverktyg i tillräckligt god tid.

Fordonstillverkaren ska på begäran göra årlig statistik över servertillgänglighet tillgänglig för godkännandemyndigheten. Om servern inte är tillgänglig ska fordonstillverkaren omedelbart rapportera detta till det OBD-forum som definieras i punkt 12.

2.5   

Fordonstillverkaren får inte begränsa tillgången till OBD-information utöver de begränsningar som anges i detta tillägg om inte annat uttryckligen anges i denna förordning. Fordonstillverkaren får inte heller begränsa oberoende aktörers tillgång till OBD-information utöver de begränsningar som gäller för tillverkarens auktoriserade partner, återförsäljare och verkstäder eller för fordonstillverkaren själv när denne får tillgång till OBD-information i syfte att utföra reparationer och underhåll.

2.6   

Fordonstillverkaren ska säkerställa att de cybersäkerhetsåtgärder som genomförs, inbegripet de kompatibilitetskrav som avses i punkt 6.2, inte leder till att tillgången till OBD-information enligt detta tillägg begränsas eller hindras utöver vad som är nödvändigt och proportionellt för att uppfylla kraven i artikel 4.5 d och rad D4 i bilaga II till förordning (EU) 2019/2144. Sådana åtgärder får hantera framtida risker och hot om fordonstillverkaren kan påvisa deras inverkan och sannolikhet.

2.7   

De åtgärder som fordonstillverkaren vidtar för att förhindra manipulering av utsläpp och bedrägerier med vägmätare får inte begränsa eller hindra tillgången till OBD-information utöver vad som är nödvändigt och proportionellt för att uppfylla kraven i artiklarna 4.7 och 4.8 i Europaparlamentets och rådets förordning (EU) 2024/1257 (*4).

3.   

Autentisering

3.1   

3.2   

När tillgång till OBD-information innebär ändringar av fordonet får fordonstillverkaren, som ett villkor för utfärdande av åtkomstuppgifter, kräva autentisering av aktören. När det gäller anordningar som används för övervakningsändamål, där data endast läses och rapporteras autonomt till diagnosverktygstillverkarens server utan någon mänsklig interaktion, får fordonstillverkaren inte kräva autentisering av aktören.

3.3   

Om tillgången till OBD-information inbegriper en ändring av fordonets programvara eller av programvarans konfiguration/parametrar som består av omprogrammering av fordonets programvarukod, vilket leder till en ändring av fordonets avsedda beteende och kvarstår efter reparations- och underhållsåtgärden, så att ändringen endast kan upphävas eller skrivas över genom en likvärdig åtgärd, får fordonstillverkaren kräva att den anställde hos den aktör som söker tillgång till OBD-information autentiseras, såvida inte tillverkaren av diagnosverktyget intygar för fordonstillverkaren att aktören, på grundval av resultatet av en oberoende revision som utförts tidigast tre år före begäran, har ett system som gör det möjligt att otvetydigt identifiera den anställde som söker sådan tillgång.

3.4   

De fall av tillgång som avses i punkt 3.2 ska omfatta sådana reparations- eller underhållsåtgärden som aktivering av styrdon och rutiner för funktionsprovning, radering av diagnostiska felkoder, återställning av serviceindikatorer, återställning av parametrar för adaptiv inlärning och utbyte av delar, inbegripet initiering av icke-smarta komponenter och avläsning av data per identifierare, såvida de inte används för periodisk teknisk inspektion med värden som motsvarar de värden som definieras i bilaga B till ISO 20730-3, förutsatt att dessa värden finns tillgängliga i fordonet.

3.5   

De fall av tillgång som avses i punkt 3.2 ska omfatta kalibrering, dvs. en process för att justera eller anpassa fordonets programvaru- och maskinvaruparametrar enligt vad som föreskrivs av fordonstillverkaren och utan variantkodning eller ändring av fordonets programvara.

3.6   

3.7   

I de fall som avses i punkt 3.6 b och c, ska identiteten av aktören och, om så är relevant, aktörens anställda och deras efterlevnad av de tillståndskrav som avses i punkterna 8.1 och 8.2 verifieras av tillverkaren av det diagnosverktyg som används för att få tillgång till OBD-informationen eller fastställas på grundval av ett sådant tillståndsintyg som avses i punkt 9.2.

3.8   

Fordonstillverkaren får inte ta ut avgifter för att möjliggöra den tillgång som avses i punkt 2.9 i bilaga X. Fordonstillverkaren får dock ta ut motiverade och proportionella avgifter för användningen av den fjärrutrustning som avses i punkt 2.9 c.

4.   

Anslutningskrav

4.1   

Med undantag för de fall av tillgång som avses i punkt 3.1 a–c får fordonstillverkaren kräva en engångsanslutning online från diagnosverktyget via diagnosverktygstillverkarens server till fordonstillverkarens server för att få åtkomstuppgifter. Efter tillhandahållandet av åtkomstuppgifter för tillgång ska tillgång inte kräva någon online-anslutning.

4.2   

Om tillgången till OBD-information inbegriper en ändring av fordonets programvara eller av programvarans konfiguration/parametrar, vilket leder till en ändring av fordonets avsedda beteende och kvarstår efter reparations- och underhållsåtgärden, så att ändringen endast kan upphävas eller skrivas över genom en likvärdig åtgärd, får fordonstillverkaren vid tidpunkten för reparationen kräva en kontinuerlig online-anslutning från diagnosverktyget till diagnosverktygstillverkarens server samt från tillverkaren av diagnosverktyget till fordonstillverkarens server.

4.3   

4.4   

De fall av tillgång som avses i punkt 4.2 ska inte omfatta de reparations- eller underhållsåtgärder som räknas upp i punkterna 3.4 och 3.5.

4.5   

Genom undantag från punkt 4.4 ska de fall av tillgång som avses i punkt 4.2 omfatta reparations- eller underhållsåtgärder som avses i punkt 3.5 om det är nödvändigt för att validera kalibreringsvärden som omfattas av lagstadgade krav eller om kalibreringen inte kan slutföras utan specifika data för enskilda komponenter eller separata tekniska enheter som krävs för att slutföra reparationsprocessen och hämtas från tillverkarens server inom ramen för en variantkodningsprocess.

5.   

Spårbarhetskrav

5.1   

Med undantag för de fall av tillgång som avses i punkt 3.1 a–c får fordonstillverkaren kräva att tillverkaren av diagnosverktyget samlar in och lagrar fordonets VIN och den unika identifieraren för diagnosverktyget.

5.2   

Om tillgången till OBD-information innebär ändringar av fordonet får fordonstillverkaren begära att tillverkaren av diagnosverktyget samlar in och lagrar information om alla utförda diagnostiska arbeten (t.ex. service-ID och underfunktion) och använda parametrar/attribut samt UTC-tidsstämplar för varje interaktion med fordonet.

5.3   

De fall av tillgång som avses i punkt 5.2 ska omfatta de reparations- eller underhållsåtgärder som räknas upp i punkterna 3.4, 3.5, 4.3 och 4.5.

5.4   

Om tillgången till OBD-information inbegriper en ändring av fordonets programvara eller av programvarans konfiguration/parametrar som består av omprogrammering av fordonets programvarukod, vilket leder till en ändring av fordonets avsedda beteende och kvarstår efter reparations- och underhållsåtgärden, så att ändringen endast kan upphävas eller skrivas över genom en likvärdig åtgärd, får fordonstillverkaren begära att tillverkaren av diagnosverktyget samlar in och tillhandahåller resultaten av inspektionen av fordonets nättopologi, fordonets ursprungliga tillstånd vid anslutningen, inklusive maskinvaru-/programvaruversioner av alla elektroniska styrenheter som är installerade i fordonet, resultaten av all modulinteraktion och alla rutiner som körts (t.ex. returparametrar) och resultaten av den slutliga fordonskontrollen efter reparation.

5.5   

De fall av tillgång som avses i punkt 5.4 ska omfatta sådana reparations- eller underhållsåtgärder som att koppla samman en originalersättningsdel (inklusive programvaru- och hårdvarukompatibel (enligt fordonstillverkarens definition) återtillverkad eller återanvänd del) eller en fordonstillverkares auktoriserade ersättningsdel med ett fordon med hjälp av ett oberoende diagnosverktyg och omprogrammering av en modul med hjälp av originalprogramvara för fordonet och programvara för programmering för originalutrustning i enlighet med fordonstillverkarens anvisningar. Den ska också omfatta fall av frikoppling eller avregistrering av en del från ett fordon.

5.6   

De fall av tillgång som avses i punkt 5.4 ska inte omfatta de reparations- eller underhållsåtgärder som räknas upp i punkterna 3.4, 3.5, 4.3 och 4.5.

6.   

Cybersäkerhetskrav för diagnosverktyg

6.1   

Med undantag för de fall av tillgång som avses i punkt 3.1 a–c får fordonstillverkaren kräva att det diagnosverktyg som används för att få tillgång till OBD-informationen uppfyller de relevanta kraven i Europaparlamentets och rådets förordning (EU) 2024/2847 (*7) och att tillverkaren av diagnosverktyget följer antingen TISAX (Trusted Information Security Assessment Exchange), upp till den nivå som anges av fordonstillverkaren i enlighet med punkt 2.5, eller ISO 27001.

6.2   

Om tillgång till OBD-information innebär ändringar av det fordon som avses i punkt 3.2 får fordonstillverkaren kräva att det diagnosverktyg som används för att få tillgång till OBD-informationen och tillverkaren av diagnosverktyget uppfyller kraven i fordonstillverkarens säkerhetsåtgärder.

6.3   

Kraven i fordonstillverkarens säkerhetsåtgärder får inte gå utöver de krav som ställs på fordonstillverkarens egna diagnosverktyg, verktygsleverantörer och egna organisation och ska tillämpas på ett icke-diskriminerande sätt.

6.4   

Fordonstillverkaren får kräva att tillverkaren av diagnosverktyget utför provningar för att kontrollera att diagnosverktyget uppfyller de angivna kraven. Ett servicenivåavtal ska säkerställa att kontroller av resultaten av dessa provningar som utförs av fordonstillverkaren görs i god tid. Om det inte bekräftas att en tillverkare av diagnosverktyg uppfyller kraven i detta avsnitt ska fordonstillverkaren tydligt ange skälen till att kraven inte uppfylls, tillsammans med de åtgärder som tillverkaren av diagnosverktyget ska genomföra.

6.5   

De fall av tillgång som avses i punkt 6.2 ska omfatta de reparations- eller underhållsåtgärder som räknas upp i punkterna 3.4 och 3.5.

6.6   

Om tillgången till OBD-information inbegriper en ändring av fordonets programvara eller av programvarans konfiguration/parametrar, vilket leder till en ändring av fordonets avsedda beteende och kvarstår efter reparations- och underhållsåtgärder, så att ändringen endast kan upphävas eller skrivas över genom en likvärdig åtgärd, får fordonstillverkaren kräva att det diagnosverktyg som används för att få tillgång till OBD-informationen och tillverkaren av diagnosverktyget uppfyller de relevanta kraven i fordonstillverkarens ledningssystem för programvaruuppdateringar (enligt definitionen i FN-föreskrift nr 156 (*8). Dessa krav får inte gå utöver de krav som ställs på fordonstillverkarens egna diagnosverktyg, verktygsleverantörer och egna organisation och ska tillämpas på ett icke-diskriminerande sätt.

6.7   

De fall av tillgång som avses i punkt 6.6 ska omfatta de reparations- eller underhållsåtgärder som räknas upp i punkterna 4.3, 4.5 och 5.5 och ska inte omfatta de som avses i punkterna 3.4 och 3.5.

7.   

Åtkomstuppgifter

7.1   

Om alla villkor som avses i avsnitten 3, 4 och 6 är uppfyllda ska fordonstillverkaren utan dröjsmål förse tillverkaren av diagnosverktyget med tillräckliga åtkomstuppgifter för att möjliggöra tillgång till den OBD-information som krävs.

7.2   

Åtkomstuppgifterna får vara specifika för fordonets VIN.

7.3   

Åtkomstuppgifterna ska vara giltiga i minst 30 dagar från den tidpunkt då de tillhandahålls.

7.4   

Om tillgång till OBD-information innebär en ändring av fordonet får fordonstillverkaren dock begränsa åtkomstuppgifternas giltighet till 24 timmar.

7.5   

De fall av tillgång som avses i punkt 7.4 ska omfatta de reparations- eller underhållsåtgärder som räknas upp i punkterna 3.4, 3.5, 4.3, 4.5 och 5.5.

8.   

Tillståndskriterier och tillståndsintyg

8.1   

Fordonstillverkaren får inte införa några andra villkor för utfärdande av åtkomstuppgifter än de som anges i leden a och b.

8.2   

I de fall som avses i punkt 5.4, där fordonstillverkaren kräver autentisering av den anställde hos aktören och såvida inte tillverkaren av diagnosverktyget, i enlighet med villkoren i punkt 3.3, intygar för fordonstillverkaren att aktören har ett system som möjliggör otvetydig identifiering av den anställde som begär sådan tillgång, får fordonstillverkaren vägra att utfärda åtkomstuppgifter om tillverkaren av det diagnosverktyg som används för att få tillgång till OBD-informationen inte, utöver de villkor som avses i punkt 8.1, intygar att den anställde som begär tillgång till OBD-information har ett anställningsavtal med den aktör som begär tillgång till OBD-information och att den berörda anställde har ett giltigt landsspecifikt identitetskort eller en likvärdig handling.

8.3   

För att vara berättigad till autentiseringsförfarandet enligt detta tillägg ska tillverkaren av diagnosverktyget i de allmänna villkoren i avtal med aktörer ha åtagit sig att på begäran av den oberoende aktören, i syfte att intyga överensstämmelse med de krav som avses i punkterna 8.1 och 8.2, godta ett intyg som avses i punkt 9.2 i detta tillägg och som utfärdats tidigast 60 månader före begäran om tillgång. Om aktören inte begär autentisering på grundval av ett sådant intyg får dock tillverkaren av diagnosverktyget för autentisering välja att kontrollera identiteten på aktören eller aktörens anställda och överensstämmelsen med tillståndskriterierna genom sina egna processer.

9.   

Organ för bedömning av överensstämmelse och säkerhetscenter

9.1   

De intyg som avses i punkterna 3.7 och 8.3 ska utfärdas av ett sådant säkerhetscenter som avses i punkt 2.1.6 i tillägg 3 på grundval av resultaten från ett sådant organ för bedömning av överensstämmelse som avses i punkt 4.2.2 i tillägg 3 med avseende på de omständigheter som avses i punkt 9.2.

9.2   

9.3   

10.   

Fordonstillverkarens tillgång till information om aktören.

10.1   

I de fall som avses i leden b och c ska denna information i tillämpliga fall omfatta information om aktören och/eller dess anställda. I de fall där tillverkaren av diagnosverktyget förlitade sig på autentisering på ett intyg från säkerhetscentret ska det berörda organet för bedömning av överensstämmelse tillhandahålla den information som krävs på grundval av sin bedömning av en dokumenterad begäran från fordonstillverkaren.

Fordonstillverkaren ska säkerställa att den information om en enskild reparations- eller underhållsåtgärd som erhållits för de ändamål som avses i leden a–c inte används för något annat ändamål.

10.2   

I de fall som avses i punkt 10.1 ska tillverkaren av diagnosverktyget utan dröjsmål informera den oberoende aktören och, i förekommande fall, den oberoende aktörens anställda om tillgången till information om en enskild reparations- eller underhållsåtgärd eller till information om aktören och/eller dess anställda.

10.3   

I de fall som avses i punkt 10.1 a och c och när detta är nödvändigt och proportionellt för att förhindra ytterligare missbruk eller hantera cybersäkerhetsrisker, får fordonstillverkaren tillfälligt stänga av eller begränsa tillgången för det berörda diagnosverktyget eller begära att den berörda tillverkaren av diagnosverktyget vidtar omedelbara åtgärder för att tillfälligt begränsa den berörda aktörens, diagnosverktygets eller anställdes tillgång till OBD-information om den tillverkarens fordon.

10.4   

I undantagsfall får fordonstillverkaren, som svar på en betydande pågående eller nära förestående cybersäkerhetsincident, tillfälligt stänga av tillgången till OBD-informationen, på så detaljerad nivå som möjligt, om det är nödvändigt och proportionellt för att hantera incidenten i fråga.

10.5   

Godkännandemyndigheten ska inom 10 dagar från dagen för anmälan se över skälen för den tillfälliga avstängningen och, om den tillfälliga avstängningen är uppenbart omotiverad eller oproportionerlig, begära att fordonstillverkaren eller den berörda tillverkaren av diagnosverktyget återställer tillgång.

Godkännandemyndigheten får när som helst begära att fordonstillverkaren och den berörda tillverkaren av diagnosverktyget återställer tillgången om den anser att skälen för avstängning inte längre föreligger.

11.   

Information som ska lämnas till tillverkare av diagnosverktyg

11.1   

11.2   

11.3   

11.4   

11.5   

Den information som avses i punkterna 11.1–11.3 ska tillhandahållas tillsammans med ansökan om typgodkännande.

12.   

OBD-forum

12.1   

12.2   

12.3   

OBD-forumets medlemmar ska utgöras av fordonstillverkare och oberoende aktörer som deltar i genomförandet och användningen av de förfaranden och processer som beskrivs i punkt 12.1.

12.4   

OBD-forumet ska fungera under den gemensamma rättsliga och organisatoriska strukturen som ’forumet för tillgång till säkerhetsrelaterad reparations- och underhållsinformation som avses i punkt 2.1.12 i tillägg 3.