|
+ПРИЛОЖЕНИЕ VIII ПРОЦЕДУРИ ЗА ОЦЕНЯВАНЕ НА СЪОТВЕТСТВИЕТО |
ПРИЛОЖЕНИЕ VIII ПРОЦЕДУРИ ЗА ОЦЕНЯВАНЕ НА СЪОТВЕТСТВИЕТО
ПРИЛОЖЕНИЕ VIII ПРОЦЕДУРИ ЗА ОЦЕНЯВАНЕ НА СЪОТВЕТСТВИЕТО Част I Процедура за оценяване на съответствието въз основа на вътрешен контрол (въз основа на модул А) 1. Вътрешният контрол е процедурата за оценяване на съответствието, чрез която производителят изпълнява задълженията, установени в точки 2, 3 и 4 от настоящата част, и гарантира и декларира на своя отговорност, че продуктите с цифрови елементи отговарят на всички съществени изисквания за киберсигурност, определени в приложение I, част I, както и че производителят отговаря на съществените изисквания за киберсигурност, определени в приложение I, част II. 2. Производителят изготвя техническата документация, описана в приложение VII. 3. Проектиране, разработване, производство и отстраняване на уязвимостите на продукти с цифрови елементи Производителят взема всички необходими мерки за това процесите по проектиране, разработване, производство и отстраняване на уязвимостите и тяхното наблюдение да гарантират съответствието на произвежданите или разработваните продукти с цифрови елементи и на въведените от производителя процеси със съществените изисквания за киберсигурност, определени в приложение I, части I и II. 4. Маркировка за съответствие и декларация за съответствие 4.1. Производителят поставя маркировката „СЕ“ върху всеки отделен продукт с цифрови елементи, който отговаря на приложимите изисквания, установени в настоящия Регламент. 4.2. Производителят изготвя писмена ЕС декларация за съответствие за всеки продукт с цифрови елементи в съответствие с член 28 и я съхранява заедно с техническата документация на разположение на националните органи в продължение на 10 години след пускането на продукта с цифрови елементи на пазара или през очаквания експлоатационен срок на продукта или периода на поддръжка, в зависимост от това кой период е по-дълъг. В ЕС декларацията за съответствие се посочва продуктът с цифрови елементи, за който е изготвена. Копие от ЕС декларацията за съответствие се предоставя на съответните органи при поискване. 5. Упълномощени представители Задълженията на производителя по точка 4 могат да бъдат изпълнявани от негов упълномощен представител, от негово име и на негова отговорност, при условие че съответните задължения са конкретно посочени в пълномощното. Част II ЕС изследване на типа (въз основа на модул B) 1. ЕС изследване на типа е част от процедура за оценяване на съответствието, в която нотифициран орган проверява техническия проект и разработването на продукт с цифрови елементи и процесите за отстраняването на уязвимостите, въведени от производителя, и удостоверява, че продукт с цифрови елементи отговаря на съществените изисквания за киберсигурност, определени в приложение I, част I, както и че производителят отговаря на съществените изисквания за киберсигурност, определени в приложение I, част II. 2. ЕС изследване на типа се извършва чрез оценяване на пригодността на техническия проект и на разработването на продукта с цифрови елементи чрез изследване на техническата документация и подкрепящите доказателства по точка 3 и с изследване на образци от една или повече основни части на продукта (комбинация от производствен тип и проектен тип). 3. Производителят подава заявление за ЕС изследване на типа само до един нотифициран орган по свой избор. Заявлението включва:
3.1.
името и адреса на производителя, а в случаите, в които заявлението е подадено от упълномощения представител —името и адреса на упълномощения представител;
3.2.
писмена декларация, че същото заявление не е подадено до друг нотифициран орган;
3.3.
техническата документация, която позволява да се направи оценка на съответствието на продукта с цифрови елементи с приложимите съществени изисквания за киберсигурност, определени в приложение I, част I, и на процесите на отстраняване на уязвимостите на производителя, посочени в приложение I, част II, и включва подходящ анализ и оценка на рисковете. В техническата документация се посочват приложимите изисквания и се обхващат — доколкото е необходимо за оценката — проектирането, производството и експлоатацията на продукта с цифрови елементи. Техническата документация съдържа, когато е приложимо, като минимум елементите, определени в приложение VII;
3.4.
подкрепящите доказателства за пригодност на техническите решения за проекта и разработването и на процесите на отстраняване на уязвимостите. В тези подкрепящи доказателства се посочват всички използвани документи, по-специално в случаите, когато съответните хармонизирани стандарти или технически спецификации не са били приложени изцяло. Когато е необходимо, подкрепящите доказателства включват резултатите от изпитванията, проведени от подходяща лаборатория на производителя или от друга лаборатория от негово име и на негова отговорност. 4. Нотифицираният орган:
4.1.
разглежда техническата документация и подкрепящите доказателства, за да направи оценка на съответствието на техническия проект и на разработката на продукта с цифрови елементи със съществените изисквания за киберсигурност, определени в приложение I, част I, както и на въведените от производителя процеси на отстраняване на уязвимостите със съществените изисквания за киберсигурност, определени в приложение I, част II,
4.2.
удостоверява, че образците са разработени или произведени в съответствие с техническата документация, и определя елементите, проектирани и разработени в съответствие с приложимите разпоредби на съответните хармонизирани стандарти или технически спецификации, както и елементите, които са проектирани и разработени без прилагане на съответните разпоредби на тези стандарти,
4.3.
извършва подходящи изследвания и изпитвания или организира извършването им с цел да се увери, че в случаите, когато производителят е предпочел да приложи решенията от съответните хармонизирани стандарти или технически спецификации по отношение на изискванията, посочени в приложение I, същите са били приложени правилно,
4.4.
извършва подходящи изследвания и изпитвания или организира извършването им с цел да се увери, че в случаите, когато решенията от съответните хармонизирани стандарти или технически спецификации по отношение на изискванията, посочени в приложение I, не са приложени, решенията, избрани от производителя, отговарят на съответните съществени изисквания за киберсигурност,
4.5.
съгласува с производителя мястото, където да се извършат изследванията и изпитванията. 5. Нотифицираният орган изготвя доклад от оценката, в който описва действията, предприети съгласно точка 4, и получените резултати. Без да се нарушават задълженията му по отношение на нотифициращите органи, нотифицираният орган разгласява изцяло или отчасти съдържанието на доклада само със съгласието на производителя. 6. Когато типът и процесите на отстраняване на уязвимостите отговарят на съществените изисквания за киберсигурност, определени в приложение I, нотифицираният орган издава на производителя сертификат за ЕС изследване на типа. Сертификатът съдържа името и адреса на производителя, заключенията от изследването, условията (ако има такива) за неговата валидност, необходимите данни за идентификация на одобрения тип и на процесите на отстраняване на уязвимостите. Сертификатът може да съдържа едно или повече приложения. Сертификатът и приложенията към него съдържат цялата необходима информация, за да може да бъде оценено съответствието на произведените или разработените продукти с цифрови елементи с изследвания тип и процеси на отстраняване на уязвимости, и да се даде възможност за контрол по време на експлоатация. Когато типът и процесите на отстраняване на уязвимости не отговарят на приложимите съществени изисквания за киберсигурност, определени в приложение I, нотифицираният орган отказва издаването на сертификат за ЕС изследване на типа и информира заявителя по надлежния ред, като подробно мотивира отказа си. 7. Нотифицираният орган следи за евентуални промени в общоприетото ниво на технически познания, които показват, че има вероятност одобреният тип и процесите на отстраняване на уязвимости вече да не отговарят на приложимите съществени изисквания за киберсигурност, определени в приложение I, и преценява дали е необходимо по-нататъшно проучване на такива промени. Ако това е така, нотифицираният орган информира производителя по съответния начин. Производителят информира нотифицирания орган, у когото се намира техническата документация, отнасяща се до сертификата за ЕС изследване на типа, за всички промени на одобрения тип и на процесите на отстраняване на уязвимостите, които могат да повлияят на съответствието със съществените изисквания за киберсигурност, определени в приложение I, или на условията за валидност на сертификата. Такива промени изискват допълнително одобрение под формата на допълнение към оригиналния сертификат за ЕС изследване на типа. 8. Нотифицираният орган извършва периодични одити, за да гарантира, че процесите за отстраняване на уязвимости, посочени в приложение I, част II, се прилагат по подходящ начин. 9. Всеки нотифициран орган информира своите нотифициращи органи за сертификатите за ЕС изследване на типа и за допълненията към тях, които е издал или отнел, и периодично или при поискване предоставя на нотифициращите органи списъка на сертификатите и допълненията към тях, които е отказал, временно прекратил или ограничил по някакъв друг начин. Всеки нотифициран орган информира останалите нотифицирани органи за сертификатите за ЕС изследване на типа и за допълненията към тях, които е отказал, отнел, временно прекратил или ограничил по някакъв друг начин, а при поискване — и за сертификатите и допълненията към тях, които е издал. Комисията, държавите членки и останалите нотифицирани органи могат при поискване да получат копие от сертификатите за ЕС изследване на типа и от всички допълнения към тях. При поискване Комисията и държавите членки могат да получат копие от техническата документация и резултатите от проведените от нотифицирания орган изследвания. Нотифицираният орган съхранява копие от сертификата за ЕС изследване на типа, неговите приложения и допълнения, както и техническото досие, включващо документацията, представена от производителя, до изтичане на валидността на сертификата. 10. Производителят съхранява копие от сертификата за ЕС изследване на типа, неговите приложения и допълнения заедно с техническата документация на разположение на националните органи в продължение на 10 години след пускането на продукта с цифрови елементи на пазара или в продължение на периода на поддръжка, в зависимост от това, кой е по-дълъг. 11. Упълномощеният представител на производителя може да подава заявлението по точка 3 и да изпълнява задълженията по точки 7 и 10, при условие че съответните задължения са конкретно посочени в пълномощното. Част III Съответствие с типа въз основа на вътрешен производствен контрол (въз основа на модул C) 1. Съответствието с типа въз основа на вътрешен производствен контрол е тази част от процедурата за оценяване на съответствието, чрез която производителят изпълнява задълженията, установени в точки 2 и 3 от настоящата част, и гарантира и декларира, че съответните продукти с цифрови елементи са в съответствие с типа, описан в сертификата за ЕС изследване на типа, и отговарят на съществените изисквания за киберсигурност, определени в приложение I, част I и че производителят изпълнява съществените изисквания за киберсигурност, посочени в приложение I, част II. 2. Производство Производителят взема всички необходими мерки за това производството и неговото наблюдение да осигурят съответствието на произвежданите продукти с цифрови елементи с одобрения тип, описан в сертификата за ЕС изследване на типа, и със съществените изисквания за киберсигурност, определени в приложение I, част I, и да гарантират, че производителят отговаря на съществените изисквания за киберсигурност, определени в приложение I, част II. 3. Маркировка за съответствие и декларация за съответствие
3.1.
Производителят поставя маркировката „СЕ“ върху всеки отделен продукт с цифрови елементи, който е в съответствие с типа, описан в сертификата за ЕС изследване на типа, и което отговаря на приложимите изисквания, установени в настоящия регламент.
3.2.
Производителят изготвя писмена декларация за съответствие за образец от продукта и я съхранява на разположение на националните органи в продължение на 10 години след пускането на продукта с цифрови елементи на пазара или в продължение на периода на поддръжка, в зависимост от това кой е по-дълъг. Декларацията за съответствие идентифицира образеца от продукта, за който е изготвена. Копие от декларацията за съответствие се предоставя на съответните органи при поискване. 4. Упълномощен представител Задълженията на производителя по точка 3 могат да бъдат изпълнявани от негов упълномощен представител, от негово име и на негова отговорност, при условие че съответните задължения са конкретно посочени в пълномощното. Част IV Съответствие въз основа на пълно осигуряване на качеството (въз основа на модул H) 1. Съответствие въз основа на пълно осигуряване на качеството е процедурата за оценяване на съответствието, чрез която производителят изпълнява задълженията, установени в точки 2 и 5 от настоящата част, и гарантира и декларира на своя отговорност, че съответните продукти с цифрови елементи (или продуктови категории) отговарят на съществените изисквания за киберсигурност, определени в приложение I, част I, както и че процесите на отстраняване на уязвимостите, въведени от производителя, отговарят на изискванията, посочени в приложение I, част II. 2. Проектиране, разработване, производство и отстраняване на уязвимостите на продукти с цифрови елементи Производителят разполага с одобрена система за управление на качеството, както е посочено в точка 3, за проектирането, разработването и крайния контрол и изпитване на съответните продукти с цифрови елементи и за отстраняването на уязвимости, поддържа нейната ефективност през периода на поддръжка и подлежи на надзор, както е посочено в точка 4. 3. Система за управление на качеството
3.1.
Производителят подава заявление за оценяване на неговата система за управление на качеството по отношение на съответните продукти с цифрови елементи до нотифициран орган по свой избор. Заявлението включва:
а)
името и адреса на производителя, а в случаите, в които заявлението е подадено от упълномощения представител —името и адреса на упълномощения представител;
б)
техническата документация за един образец от всяка категория продукти с цифрови елементи, чието производство или разработване се предвижда. Техническата документация съдържа, когато е приложимо, като минимум елементите, посочени в приложение VII;
в)
документацията относно системата за управление на качеството; и
г)
писмена декларация, че същото заявление не е подадено до друг нотифициран орган.
3.2.
Системата за управление на качеството осигурява съответствието на продуктите с цифрови елементи със съществените изисквания за киберсигурност, определени в приложение I, част I, и съответствието на въведените от производителя процеси на отстраняване на уязвимостите с изискванията, посочени в приложение I, част II. Всички елементи, изисквания и предписания, приети от производителя, се документират редовно и систематично под формата на писмени политики, процедури и инструкции. Документацията на системата за управление на качеството позволява еднозначно тълкуване на програмите, плановете, наръчниците и записите във връзка с контрола на качеството. По-конкретно тя включва достатъчно описание на:
а)
целите във връзка с качеството и организационната структура, отговорностите и правомощията на ръководството по отношение на проектирането, разработването, качеството на продукта и отстраняването на уязвимостите;
б)
техническите спецификации на проекта и разработването, включително стандарти, които ще бъдат приложени, а когато съответните хармонизирани стандарти и/или технически спецификации няма да бъдат приложени изцяло, средствата, които ще се използват за осигуряване съответствието на продуктите с цифрови елементи със съществените изисквания за киберсигурност, определени в приложение I, част I;
в)
спецификациите на процедурите, включително стандарти, които ще бъдат приложени, а когато съответните хармонизирани стандарти и/или технически спецификации няма да бъдат приложени изцяло, средствата, които ще се използват за осигуряване съответствието на производителя със съществените изисквания за киберсигурност, определени в приложение I, част II;
г)
контролът на проектирането и разработката, както и техниките, процесите и системните действия за проверка на проекта и разработката, които ще бъдат използвани при проектирането и разработването на продуктите с цифрови елементи, принадлежащи към обхванатата продуктова категория;
д)
съответните техники на производство, контрол на качеството и осигуряване на качеството, процесите и системните действия, които ще се използват;
е)
изследванията и изпитванията, които ще се извършват преди, по време на и след производството, и честотата с която ще се извършват;
ж)
записите по качеството, като доклади от проверки и данни от изпитвания, данни за калибриране и доклади за квалификацията на съответния персонал;
з)
средствата за наблюдение за постигане на изискваното качество на проекта и на продукта, и за ефективното функциониране на системата за управление на качеството.
3.3.
Нотифицираният орган оценява системата за управление на качеството, за да определи дали тя отговаря на изискванията, посочени в точка 3.2. По отношение на елементите на системата за управление на качеството, които отговарят на съответните спецификации на националния стандарт, който въвежда съответния хармонизиран стандарт или технически спецификации нотифицираният орган приема, че е налице съответствие с посочените по-горе изисквания. В допълнение към опита в системи за управление на качеството, екипът одитори разполага най-малко с един член с опит в оценяването на съответната продуктова област и технологията на продукта, както и притежава познания за приложимите изисквания, установени в настоящия регламент. Одитът включва посещение за оценка в помещенията на производителя, когато такива помещения съществуват. Екипът одитори извършва преглед на техническата документация по точка 3.1, буква б) с цел да установи способността на производителя да определи приложимите изисквания, установени в настоящия регламент, и да проведе необходимите изследвания, за да осигури съответствието на продукта с цифрови елементи с тези изисквания. Решението се съобщава на производителя или на неговия упълномощен представител. Уведомлението съдържа заключенията от одита и мотивирано решение относно извършеното оценяване.
3.4.
Производителят се задължава да изпълнява задълженията, произтичащи от одобрената система за управление на качеството, както и да я поддържа в състояние на пригодност и ефикасно функциониране.
3.5.
Производителят редовно информира нотифицирания орган, одобрил системата за управление на качеството, за всякакви планирани изменения в нея. Нотифицираният орган оценява предложените изменения и решава дали изменената система за управление на качеството ще продължи да отговаря на изискванията по точка 3.2, или се налага ново оценяване. Той уведомява производителя за своето решение. Уведомлението включва заключенията от извършеното изследване и мотивирано решение относно извършеното оценяване. 4. Надзор под отговорността на нотифицирания орган
4.1.
Целта на надзора е да се гарантира, че производителят изпълнява правилно задълженията, произтичащи от одобрената система за управление на качеството.
4.2.
За целите на оценката производителят предоставя достъп на нотифицирания орган до местата на проектиране, разработване, производство, проверка, изпитване и съхраняване и му предоставя цялата налична информация, по-специално:
а)
документацията на системата за управление на качеството;
б)
записите по качеството, посочени в проектната част на системата по качеството, като резултати от анализи, изчисления и изпитвания;
в)
записите по качеството, посочени в производствената част на системата по качеството, като доклади от проверки, данни от изпитвания, данни от калибриране и доклади за квалификацията на съответния персонал.
4.3.
Нотифицираният орган извършва периодични одити, за да се увери, че производителят поддържа и прилага системата за управление на качеството, и предоставя на производителя доклад от одита. 5. Маркировка за съответствие и декларация за съответствие
5.1.
Производителят поставя маркировката „СЕ“, и на отговорността на нотифицирания орган, посочен в точка 3.1, идентификационния му номер, върху всеки отделен продукт с цифрови елементи, който отговаря на изискванията, посочени в приложение I, част I.
5.2.
Производителят изготвя писмена декларация за съответствие за образец от всеки продукт и я съхранява на разположение на националните органи в продължение на 10 години след пускането на продукта с цифрови елементи на пазара или в продължение на периода на поддръжка, в зависимост от това кой е по-дълъг. Декларацията за съответствие идентифицира образеца от продукта, за който е изготвена. Копие от декларацията за съответствие се предоставя на съответните органи при поискване. 6. В продължение на най-малко 10 години след пускането на продукта с цифрови елементи на пазара или в продължение на периода на поддръжка, в зависимост от това кой е по-дълъг, в зависимост от това кой период е по-дълъг, производителят съхранява на разположение на националните органи:
а)
техническата документация по точка 3.1;
б)
документацията относно системата за управление на качеството по точка 3.1;
в)
одобрените изменения по точка 3.5;
г)
решенията и докладите на нотифицирания орган по точки 3.5 и 4.3. 7. Всеки нотифициран орган информира своите нотифициращи органи за одобренията на системи за управление на качеството, които е издал или отнел, и периодично или при поискване им предоставя списък с одобренията на системи за управление на качеството, които е отказал, временно прекратил или ограничил по някакъв друг начин. Всеки нотифициран орган информира останалите нотифицирани органи за одобренията на системи за управление на качеството, които е отказал, временно прекратил или отнел, и при поискване, за одобренията на системи за управление на качеството, които е издал. 8. Упълномощен представител Задълженията на производителя, определени в точки 3.1, 3.5, 5 и 6, могат да бъдат изпълнявани от негов упълномощен представител, от негово име и на негова отговорност, при условие че съответните задължения са конкретно посочени в пълномощното. По отношение на настоящия акт беше направено изявление, което може да бъде намерено в ОВ C, 2024/6786, 20.11.2024 г., ELI: http://data.europa.eu/eli/C/2024/6786/oj. 1. Преглед
1.1 Препратки1.2 Идентифицирани изисквания1.3 Свързани стандарти2. Идентифицирани изисквания
3. Свързани стандарти
Свързани задачи
|