+UREDBA (EU) 2024/2847 EUROPSKOG PARLAMENTA I VIJEĆA od 23. listopada 2024. o horizontalnim zahtjevima u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima i o izmjeni uredbi (EU) br. 168/2013 i (EU) 2019/1020 te Direktive (EU) 2020/1828 (Akt o kibernetičkoj otpornosti) (Tekst značajan za EGP)
---+POGLAVLJE I. OPĆE ODREDBE
------+Članak 1. Predmet
------+Članak 2. Područje primjene
---------+Članak 2. 1.
---------+Članak 2. 2.
---------+Članak 2. 3.
---------+Članak 2. 4.
---------+Članak 2. 5.
---------+Članak 2. 6.
---------+Članak 2. 7.
---------+Članak 2. 8.
------+Članak 3. Definicije
------+Članak 4. Slobodno kretanje
---------+Članak 4. 1.
---------+Članak 4. 2.
---------+Članak 4. 3.
---------+Članak 4. 4.
------+Članak 5. Nabava ili upotreba proizvoda s digitalnim elementima
---------+Članak 5. 1.
---------+Članak 5. 2.
------+Članak 6. Zahtjevi za proizvode s digitalnim elementima
------+Članak 7. Važni proizvodi s digitalnim elementima
---------+Članak 7. 1.
---------+Članak 7. 2.
---------+Članak 7. 3.
---------+Članak 7. 4.
------+Članak 8. Kritični proizvodi s digitalnim elementima
---------+Članak 8. 1.
---------+Članak 8. 2.
------+Članak 9. Savjetovanje s dionicima
---------+Članak 9. 1.
---------+Članak 9. 2.
------+Članak 10. Poboljšanje vještina u digitalnom okruženju otpornom na kibernetičke prijetnje
------+Članak 11. Opća sigurnost proizvoda
------+Članak 12. Visokorizični UI sustavi
---------+Članak 12. 1.
---------+Članak 12. 2.
---------+Članak 12. 3.
---------+Članak 12. 4.
---+POGLAVLJE II. OBVEZE GOSPODARSKIH SUBJEKATA I ODREDBE U POGLEDU BESPLATNOG SOFTVERA OTVORENOG koda
------+Članak 13. Obveze proizvođača
---------+Članak 13. 1.
---------+Članak 13. 2.
---------+Članak 13. 3.
---------+Članak 13. 4.
---------+Članak 13. 5.
---------+Članak 13. 6.
---------+Članak 13. 7.
---------+Članak 13. 8.
---------+Članak 13. 9.
---------+Članak 13. 10.
---------+Članak 13. 11.
---------+Članak 13. 12.
---------+Članak 13. 13.
---------+Članak 13. 14.
---------+Članak 13. 15.
---------+Članak 13. 16.
---------+Članak 13. 17.
---------+Članak 13. 18.
---------+Članak 13. 19.
---------+Članak 13. 20.
---------+Članak 13. 21.
---------+Članak 13. 22.
---------+Članak 13. 23.
---------+Članak 13. 24.
---------+Članak 13. 25.
------+Članak 14. Obveze proizvođačâ u pogledu izvješćivanja
---------+Članak 14. 1.
---------+Članak 14. 2.
---------+Članak 14. 3.
---------+Članak 14. 4.
---------+Članak 14. 5.
---------+Članak 14. 6.
---------+Članak 14. 7.
---------+Članak 14. 8.
---------+Članak 14. 9.
---------+Članak 14. 10.
------+Članak 15. Dobrovoljno izvješćivanje
---------+Članak 15. 1.
---------+Članak 15. 2.
---------+Članak 15. 3.
---------+Članak 15. 4.
---------+Članak 15. 5.
------+Članak 16. Uspostava jedinstvene platforme za izvješćivanje
---------+Članak 16. 1.
---------+Članak 16. 2.
---------+Članak 16. 3.
---------+Članak 16. 4.
---------+Članak 16. 5.
---------+Članak 16. 6.
------+Članak 17. Ostale odredbe povezane s izvješćivanjem
---------+Članak 17. 1.
---------+Članak 17. 2.
---------+Članak 17. 3.
---------+Članak 17. 4.
---------+Članak 17. 5.
---------+Članak 17. 6.
------+Članak 18. Ovlašteni zastupnici
---------+Članak 18. 1.
---------+Članak 18. 2.
---------+Članak 18. 3.
------+Članak 19. Obveze uvoznika
---------+Članak 19. 1.
---------+Članak 19. 2.
---------+Članak 19. 3.
---------+Članak 19. 4.
---------+Članak 19. 5.
---------+Članak 19. 6.
---------+Članak 19. 7.
---------+Članak 19. 8.
------+Članak 20. Obveze distributera
---------+Članak 20. 1.
---------+Članak 20. 2.
---------+Članak 20. 3.
---------+Članak 20. 4.
---------+Članak 20. 5.
---------+Članak 20. 6.
------+Članak 21. Slučajevi u kojem se obveze proizvođača primjenjuju na uvoznike i distributere
------+Članak 22. Drugi slučajevi u kojima se primjenjuju obveze proizvođača
---------+Članak 22. 1.
---------+Članak 22. 2.
------+Članak 23. Identifikacija gospodarskih subjekata
---------+Članak 23. 1.
---------+Članak 23. 2.
------+Članak 24. Obveze upravitelja softvera otvorenog koda
---------+Članak 24. 1.
---------+Članak 24. 2.
---------+Članak 24. 3.
------+Članak 25. Potvrda o sigurnosti besplatnog softvera otvorenog koda
------+Članak 26. Smjernice
---------+Članak 26. 1.
---------+Članak 26. 2.
---------+Članak 26. 3.
---+POGLAVLJE III. SUKLADNOST PROIZVODA S DIGITALNIM ELEMENTIMA
------+Članak 27. Pretpostavka sukladnosti
---------+Članak 27. 1.
---------+Članak 27. 2.
---------+Članak 27. 3.
---------+Članak 27. 4.
---------+Članak 27. 5.
---------+Članak 27. 6.
---------+Članak 27. 7.
---------+Članak 27. 8.
---------+Članak 27. 9.
------+Članak 28. EU izjava o sukladnosti
---------+Članak 28. 1.
---------+Članak 28. 2.
---------+Članak 28. 3.
---------+Članak 28. 4.
---------+Članak 28. 5.
------+Članak 29. Opća načela za oznaku CE
------+Članak 30. Pravila i uvjeti stavljanja oznake CE
---------+Članak 30. 1.
---------+Članak 30. 2.
---------+Članak 30. 3.
---------+Članak 30. 4.
---------+Članak 30. 5.
---------+Članak 30. 6.
------+Članak 31. Tehnička dokumentacija
---------+Članak 31. 1.
---------+Članak 31. 2.
---------+Članak 31. 3.
---------+Članak 31. 4.
---------+Članak 31. 5.
------+Članak 32. Postupci ocjenjivanja sukladnosti proizvoda s digitalnim elementima
---------+Članak 32. 1.
---------+Članak 32. 2.
---------+Članak 32. 3.
---------+Članak 32. 4.
---------+Članak 32. 5.
---------+Članak 32. 6.
------+Članak 33. Mjere potpore za mikropoduzeća te mala i srednja poduzeća, uključujući novoosnovana poduzeća
---------+Članak 33. 1.
---------+Članak 33. 2.
---------+Članak 33. 3.
---------+Članak 33. 4.
---------+Članak 33. 5.
------+Članak 34. Sporazumi o uzajamnom priznavanju
---+POGLAVLJE IV. PRIJAVLJIVANJE TIJELA ZA OCJENJIVANJE SUKLADNOSTI
------+Članak 35. Prijavljivanje
---------+Članak 35. 1.
---------+Članak 35. 2.
------+Članak 36. Tijela koja provode prijavljivanje
---------+Članak 36. 1.
---------+Članak 36. 2.
---------+Članak 36. 3.
---------+Članak 36. 4.
------+Članak 37. Zahtjevi u pogledu tijela koja provode prijavljivanje
---------+Članak 37. 1.
---------+Članak 37. 2.
---------+Članak 37. 3.
---------+Članak 37. 4.
---------+Članak 37. 5.
---------+Članak 37. 6.
------+Članak 38. Obveze tijela koja provode prijavljivanje u pogledu obavješćivanja
---------+Članak 38. 1.
---------+Članak 38. 2.
------+Članak 39. Zahtjevi u pogledu prijavljenih tijela
---------+Članak 39. 1.
---------+Članak 39. 2.
---------+Članak 39. 3.
---------+Članak 39. 4.
---------+Članak 39. 5.
---------+Članak 39. 6.
---------+Članak 39. 7.
---------+Članak 39. 8.
---------+Članak 39. 9.
---------+Članak 39. 10.
---------+Članak 39. 11.
---------+Članak 39. 12.
------+Članak 40. Pretpostavka sukladnosti prijavljenih tijela
------+Članak 41. Društva kćeri prijavljenih tijela i njihovi podizvođači
---------+Članak 41. 1.
---------+Članak 41. 2.
---------+Članak 41. 3.
---------+Članak 41. 4.
------+Članak 42. Zahtjev za prijavu
---------+Članak 42. 1.
---------+Članak 42. 2.
---------+Članak 42. 3.
------+Članak 43. Postupak prijavljivanja
---------+Članak 43. 1.
---------+Članak 43. 2.
---------+Članak 43. 3.
---------+Članak 43. 4.
---------+Članak 43. 5.
---------+Članak 43. 6.
------+Članak 44. Identifikacijski brojevi i popisi prijavljenih tijela
---------+Članak 44. 1.
---------+Članak 44. 2.
------+Članak 45. Promjene u vezi s prijavama
---------+Članak 45. 1.
---------+Članak 45. 2.
------+Članak 46. Osporavanje stručnosti prijavljenih tijela
---------+Članak 46. 1.
---------+Članak 46. 2.
---------+Članak 46. 3.
---------+Članak 46. 4.
------+Članak 47. Operativne obveze prijavljenih tijela
---------+Članak 47. 1.
---------+Članak 47. 2.
---------+Članak 47. 3.
---------+Članak 47. 4.
---------+Članak 47. 5.
---------+Članak 47. 6.
------+Članak 48. Žalbe protiv odluka prijavljenih tijela
------+Članak 49. Obveze prijavljenih tijela u pogledu obavješćivanja
---------+Članak 49. 1.
---------+Članak 49. 2.
------+Članak 50. Razmjena iskustava
------+Članak 51. Koordinacija prijavljenih tijela
---------+Članak 51. 1.
---------+Članak 51. 2.
---+POGLAVLJE V. NADZOR TRŽIŠTA I IZVRŠAVANJE
------+Članak 52. Nadzor tržišta i kontrola proizvoda s digitalnim elementima na tržištu Unije
---------+Članak 52. 1.
---------+Članak 52. 2.
---------+Članak 52. 3.
---------+Članak 52. 4.
---------+Članak 52. 5.
---------+Članak 52. 6.
---------+Članak 52. 7.
---------+Članak 52. 8.
---------+Članak 52. 9.
---------+Članak 52. 10.
---------+Članak 52. 11.
---------+Članak 52. 12.
---------+Članak 52. 13.
---------+Članak 52. 14.
---------+Članak 52. 15.
---------+Članak 52. 16.
------+Članak 53. Pristup podacima i dokumentaciji
------+Članak 54. Postupak na nacionalnoj razini za proizvode s digitalnim elementima koji predstavljaju znatan kibernetički sigurnosni rizik
---------+Članak 54. 1.
---------+Članak 54. 2.
---------+Članak 54. 3.
---------+Članak 54. 4.
---------+Članak 54. 5.
---------+Članak 54. 6.
---------+Članak 54. 7.
---------+Članak 54. 8.
---------+Članak 54. 9.
------+Članak 55. Zaštitni postupak Unije
---------+Članak 55. 1.
---------+Članak 55. 2.
---------+Članak 55. 3.
---------+Članak 55. 4.
---------+Članak 55. 5.
------+Članak 56. Postupak na razini Unije za proizvode s digitalnim elementima koji predstavljaju znatan kibernetički sigurnosni rizik
---------+Članak 56. 1.
---------+Članak 56. 2.
---------+Članak 56. 3.
---------+Članak 56. 4.
---------+Članak 56. 5.
---------+Članak 56. 6.
---------+Članak 56. 7.
------+Članak 57. Usklađeni proizvodi s digitalnim elementima koji predstavljaju znatan kibernetički sigurnosni rizik
---------+Članak 57. 1.
---------+Članak 57. 2.
---------+Članak 57. 3.
---------+Članak 57. 4.
---------+Članak 57. 5.
---------+Članak 57. 6.
---------+Članak 57. 7.
---------+Članak 57. 8.
---------+Članak 57. 9.
---------+Članak 57. 10.
---------+Članak 57. 11.
------+Članak 58. Formalna neusklađenost
---------+Članak 58. 1.
---------+Članak 58. 2.
------+Članak 59. Zajedničke aktivnosti tijelâ za nadzor tržišta
---------+Članak 59. 1.
---------+Članak 59. 2.
---------+Članak 59. 3.
---------+Članak 59. 4.
---------+Članak 59. 5.
------+Članak 60. Opsežne provjere
---------+Članak 60. 1.
---------+Članak 60. 2.
---------+Članak 60. 3.
---------+Članak 60. 4.
---------+Članak 60. 5.
---+POGLAVLJE VI. DELEGIRANE OVLASTI I POSTUPAK ODBORA
------+Članak 61. Izvršavanje delegiranja ovlasti
---------+Članak 61. 1.
---------+Članak 61. 2.
---------+Članak 61. 3.
---------+Članak 61. 4.
---------+Članak 61. 5.
---------+Članak 61. 6.
------+Članak 62. Postupak odbora
---------+Članak 62. 1.
---------+Članak 62. 2.
---------+Članak 62. 3.
---+POGLAVLJE VII. POVJERLJIVOST I SANKCIJE
------+Članak 63. Povjerljivost
---------+Članak 63. 1.
---------+Članak 63. 2.
---------+Članak 63. 3.
---------+Članak 63. 4.
------+Članak 64. Sankcije
---------+Članak 64. 1.
---------+Članak 64. 2.
---------+Članak 64. 3.
---------+Članak 64. 4.
---------+Članak 64. 5.
---------+Članak 64. 6.
---------+Članak 64. 7.
---------+Članak 64. 8.
---------+Članak 64. 9.
---------+Članak 64. 10.
------+Članak 65. Predstavničke tužbe
---+POGLAVLJE VIII. PRIJELAZNE I ZAVRŠNE ODREDBE
------+Članak 66. Izmjena Uredbe (EU) 2019/1020
------+Članak 67. Izmjena Direktive (EU) 2020/1828
------+Članak 68. Izmjena Uredbe (EU) br. 168/2013
------+Članak 69. Prijelazne odredbe
---------+Članak 69. 1.
---------+Članak 69. 2.
---------+Članak 69. 3.
------+Članak 70. Evaluacija i preispitivanje
---------+Članak 70. 1.
---------+Članak 70. 2.
------+Članak 71. Stupanje na snagu i primjena
---------+Članak 71. 1.
---------+Članak 71. 2.
---+PRILOG I. BITNI ZAHTJEVI U POGLEDU KIBERNETIČKE SIGURNOSTI
---+PRILOG II. INFORMACIJE I UPUTE ZA KORISNIKA
---+PRILOG III. VAŽNI PROIZVODI S DIGITALNIM ELEMENTIMA
---+PRILOG IV. KRITIČNI PROIZVODI S DIGITALNIM ELEMENTIMA
---+PRILOG V. EU IZJAVA O SUKLADNOSTI
---+PRILOG VI. POJEDNOSTAVLJENA EU IZJAVA O SUKLADNOSTI
---+PRILOG VII. SADRŽAJ TEHNIČKE DOKUMENTACIJE
---+PRILOG VIII. POSTUPCI OCJENJIVANJA SUKLADNOSTI
|
English -
European Union -
UREDBA (EU) 2024/2847 EUROPSKOG PARLAMENTA I VIJEĆA od 23. listopada 2024. o horizontalnim zahtjevima u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima i o izmjeni uredbi (EU) br. 168/2013 i (EU) 2019/1020 te Direktive (EU) 2020/1828 (Akt o kibernetičkoj otpornosti) (Tekst značajan za EGP)
UREDBA (EU) 2024/2847 EUROPSKOG PARLAMENTA I VIJEĆA
od 23. listopada 2024.
o horizontalnim zahtjevima u pogledu kibernetičke sigurnosti za proizvode s digitalnim elementima i o izmjeni uredbi (EU) br. 168/2013 i (EU) 2019/1020 te Direktive (EU) 2020/1828 (Akt o kibernetičkoj otpornosti)
(Tekst značajan za EGP)
Ova je Uredba u cijelosti obvezujuća i izravno se primjenjuje u svim državama članicama.
1. Pregled
| Naslov |
Regulativa |
|
POGLAVLJE I. OPĆE ODREDBE
|
POGLAVLJE I. OPĆE ODREDBE
|
|
POGLAVLJE II. OBVEZE GOSPODARSKIH SUBJEKATA I ODREDBE U POGLEDU BESPLATNOG SOFTVERA OTVORENOG koda
|
POGLAVLJE II. OBVEZE GOSPODARSKIH SUBJEKATA I ODREDBE U POGLEDU BESPLATNOG SOFTVERA OTVORENOG koda
|
|
POGLAVLJE III. SUKLADNOST PROIZVODA S DIGITALNIM ELEMENTIMA
|
POGLAVLJE III. SUKLADNOST PROIZVODA S DIGITALNIM ELEMENTIMA
|
|
POGLAVLJE IV. PRIJAVLJIVANJE TIJELA ZA OCJENJIVANJE SUKLADNOSTI
|
POGLAVLJE IV. PRIJAVLJIVANJE TIJELA ZA OCJENJIVANJE SUKLADNOSTI
|
|
POGLAVLJE V. NADZOR TRŽIŠTA I IZVRŠAVANJE
|
POGLAVLJE V. NADZOR TRŽIŠTA I IZVRŠAVANJE
|
|
POGLAVLJE VI. DELEGIRANE OVLASTI I POSTUPAK ODBORA
|
POGLAVLJE VI. DELEGIRANE OVLASTI I POSTUPAK ODBORA
|
|
POGLAVLJE VII. POVJERLJIVOST I SANKCIJE
|
POGLAVLJE VII. POVJERLJIVOST I SANKCIJE
|
|
POGLAVLJE VIII. PRIJELAZNE I ZAVRŠNE ODREDBE
|
POGLAVLJE VIII. PRIJELAZNE I ZAVRŠNE ODREDBE
|
|
PRILOG I. BITNI ZAHTJEVI U POGLEDU KIBERNETIČKE SIGURNOSTI
|
PRILOG I.
BITNI ZAHTJEVI U POGLEDU KIBERNETIČKE SIGURNOSTI
Dio I. Kibernetički sigurnosni zahtjevi koji se odnose na svojstva proizvoda s digitalnim elementima
1. Proizvodi s digitalnim elementima projektiraju se, razvijaju i proizvode tako da osiguravaju odgovarajuću razinu kibernetičke sigurnosti na temelju rizika.
2. Na temelju procjene kibernetičkog sigurnosnog rizika iz članka 13. stavka 2. i ako je primjenjivo, proizvodi s digitalnim elementima,:
(a)
stavljaju se na raspolaganje na tržištu bez poznatih iskoristivih ranjivosti;
(b)
stavljaju se na raspolaganje na tržištu u zadanoj sigurnoj konfiguraciji, osim ako se proizvođač i poslovni korisnik dogovore drukčije u vezi s prilagođenim proizvodom s digitalnim elementima, što uključuje mogućnost vraćanja proizvoda u izvorno stanje;
(c)
osiguravaju da se na ranjivosti može odgovoriti sigurnosnim ažuriranjima, među ostalim, ako je primjenjivo, automatskim sigurnosnim ažuriranjima koja se instaliraju u odgovarajućem vremenskom okviru i koja su omogućena kao zadana postavka, s jasnim i jednostavnim mehanizmom izuzeća, obavješćivanjem korisnika o dostupnim ažuriranjima i uz mogućnost njihove privremene odgode;
(d)
osiguravaju zaštitu od neovlaštenog pristupa u obliku odgovarajućih kontrolnih mehanizama, među kojima su sustavi za upravljanje autentifikacijom, identitetima odnosno pristupom te izvješćuju o mogućem neovlaštenom pristupu;
(e)
štite povjerljivost pohranjenih, prenesenih ili drukčije obrađenih podataka, osobnih ili drugih, primjerice šifriranjem relevantnih podataka u mirovanju ili tijekom prijenosa s pomoću najsuvremenijih mehanizama i korištenjem drugim tehničkim sredstvima;
(f)
štite cjelovitost pohranjenih, prenesenih ili na drukčije obrađenih podataka, osobnih ili drugih, naredbi, programa i konfiguracije od bilo kakve manipulacije ili izmjene koju korisnik nije odobrio te prijavljivati narušavanja te cjelovitosti;
(g)
obrađuju isključivo podatke, osobne ili druge, koji su primjereni, relevantni i ograničeni na ono što je potrebno za namjenu proizvoda s digitalnim elementima („minimizacija podataka”);
(h)
štite dostupnost osnovnih i glavnih funkcija i nakon incidenta, među ostalim s pomoću mjera otpornosti i ublažavanja u odnosu na distribuirane napade uskraćivanjem usluge;
i.
na najmanju moguću mjeru svode negativan utjecaj samih proizvoda ili povezanih uređaja na dostupnost usluga koje pružaju drugi uređaji ili mreže;
(j)
projektiraju se, razvijaju i proizvede tako da ograničavaju površine napada, što uključuje vanjska sučelja;
(k)
projektiraju se, razvijaju i proizvede tako da ublažavaju posljedice incidenta primjenom odgovarajućih mehanizama i tehnika za ublažavanje iskorištavanja;
(l)
pružaju informacije o sigurnosti na temelju bilježenja i praćenja bitnih unutarnjih aktivnosti, među kojima su pristupanje podacima, uslugama ili funkcijama ili njihova izmjena, uz mehanizam za dobrovoljni izlazak iz sustava za korisnika;
(m)
omogućuju korisnicima da na siguran i jednostavan način trajno uklone sve podatke i postavke te da, ako se takvi podaci mogu prenijeti u druge proizvode ili sustave, osiguraju da se to čini na siguran način.
Dio II. Zahtjevi u pogledu postupanja s ranjivostima
Proizvođači proizvoda s digitalnim elementima:
1.
definiraju i dokumentiraju ranjivosti i komponente proizvoda s digitalnim elementima, među ostalim sastavljanjem popisa softverskog materijala u uobičajenom, strojno čitljivom formatu koji obuhvaća barem ovisnosti proizvoda na najvišoj razini;
2.
kad je riječ o rizicima za proizvode s digitalnim elementima, bez odgode razmatra i otklanja ranjivosti, među ostalim sigurnosnim ažuriranjima; ako je to tehnički izvedivo, nova sigurnosna ažuriranja pružaju se odvojeno od ažuriranja funkcionalnosti;
3.
provode djelotvorna i redovita ispitivanja i preispitivanja sigurnosti proizvoda s digitalnim elementima;
4.
dijele i javno objavljuju informacije o popravljenim ranjivostima nakon izdavanja sigurnosnog ažuriranja, koje uključuju opis ranjivosti, informacije koje korisnicima omogućuju identifikaciju zahvaćenih proizvoda s digitalnim elementima, posljedice ranjivosti, njihovu težinu i jasne i dostupne informacije koje korisnicima pomažu otkloniti te ranjivosti; u opravdanim slučajevima, ako proizvođači smatraju da sigurnosni rizici od objave nadmašuju sigurnosne koristi, mogu odgoditi objavljivanje informacija o popravljenoj ranjivosti dok se korisnicima ne omogući primjena relevantne zakrpe;
5.
uspostavljaju i provode politiku koordiniranog otkrivanja ranjivosti;
6.
poduzimaju mjere za lakšu razmjenu informacija o potencijalnim ranjivostima svojeg proizvoda s digitalnim elementima i komponenata treće strane u tom proizvodu, među ostalim tako što daju adresu za kontakt za prijavljivanje ranjivosti otkrivenih u proizvodu s digitalnim elementima;
7.
pružaju mehanizme za sigurnu distribuciju ažuriranja za proizvode s digitalnim elementima kako bi se ranjivosti pravodobno i, ako je primjenjivo, za sigurnosna ažuriranja i automatski, popravile ili smanjile;
8.
osiguravaju da se sigurnosna ažuriranja za otklanjanje utvrđenih sigurnosnih problema, ako su dostupna, distribuiraju bez odgode, osim ako se proizvođač i poslovni korisnik dogovore drukčije u vezi s prilagođenim proizvodom s digitalnim elementima, besplatno i zajedno s upozorenjima za korisnike s bitnim informacijama, među ostalim o mogućim mjerama koje treba poduzeti.
|
|
PRILOG II. INFORMACIJE I UPUTE ZA KORISNIKA
|
PRILOG II.
INFORMACIJE I UPUTE ZA KORISNIKA
Uz proizvod s digitalnim elementima daju se barem sljedeće informacije:
1.
ime, registrirano trgovačko ime ili registrirani žig proizvođača, poštanska adresa, e-adresa ili drugi digitalni kontakt te, ako je dostupna, internetska stranica na kojoj se može stupiti u kontakt s proizvođačem;
2.
jedinstvena kontaktna točka gdje se mogu dojaviti i dobiti informacije o ranjivostima proizvoda s digitalnim elementima te pronaći politika proizvođača u vezi s koordiniranim otkrivanjem ranjivosti;
3.
naziv i vrsta proizvoda s digitalnim elementima te svi dodatni podaci na temelju kojih ga je moguće jedinstveno identificirati;
4.
namjena proizvoda s digitalnim elementima, uključujući sigurnosno okruženje kako ga je uspostavio proizvođač, te bitne funkcionalnosti proizvoda i informacije o sigurnosnim svojstvima;
5.
sve poznate i predvidljive okolnosti povezane s upotrebom proizvoda s digitalnim elementima u skladu s njegovom namjenom ili u uvjetima razumno predvidljive krive upotrebe zbog kojih mogu nastati znatni kibernetički sigurnosni rizici;
6.
ako je primjenjivo, internetska adresa na kojoj se može pristupiti EU izjavi o sukladnosti;
7.
vrsta tehničke sigurnosne podrške koju nudi proizvođač i datum završetka razdoblja potpore tijekom kojeg korisnici mogu očekivati postupanje s ranjivostima i sigurnosna ažuriranja;
8.
detaljne upute ili internetska adresa za takve detaljne upute i informacije o:
(a)
potrebnim mjerama za sigurnu upotrebu proizvoda s digitalnim elementima tijekom njegova stavljanja u upotrebu i cijelog životnog vijeka;
(b)
mogućem utjecaju promjena proizvoda s digitalnim elementima na sigurnost podataka;
(c)
načinu instaliranja ažuriranja važnih za sigurnost;
(d)
sigurnom stavljanju proizvoda s digitalnim elementima izvan upotrebe, uključujući informacije o sigurnom uklanjanju korisničkih podataka;
(e)
pitanju kako se može isključiti zadana postavka koja omogućuje automatsku ugradnju sigurnosnih ažuriranja, kako se zahtijeva u dijelu I. točki 2. podtočki (c) Priloga I.;
(f)
ako je proizvod s digitalnim elementima namijenjen za integraciju u druge proizvode s digitalnim elementima, informacije potrebne kako bi se integrator uskladio s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u Prilogu I. i zahtjevima u pogledu dokumentacije utvrđenima u Prilogu VII.
9.
Ako proizvođač odluči korisniku staviti na raspolaganje popis softverskog materijala, informacije o tome gdje se može pristupiti popisu softverskog materijala.
|
|
PRILOG III. VAŽNI PROIZVODI S DIGITALNIM ELEMENTIMA
|
PRILOG III.
VAŽNI PROIZVODI S DIGITALNIM ELEMENTIMA
I. razred
1. Sustavi za upravljanje identitetom te softver i hardver za upravljanje povlaštenim pristupom, uključujući čitače za provjeru autentičnosti i kontrolu pristupa, uključujući biometrijske čitače
2. Samostalni i ugrađeni preglednici
4. Softver za traženje, uklanjanje ili izoliranje zlonamjernog softvera
5. Proizvodi s digitalnim elementima s funkcijom virtualne privatne mreže (VPN)
6. Sustavi za upravljanje mrežom
7. Sustavi za upravljanje sigurnosnim informacijama i događajima (SIEM)
8. Upravitelji pokretanja sustava
9. Infrastruktura javnih ključeva i softver za izdavanje digitalnih certifikata
10. Fizička i virtualna mrežna sučelja
12. Ruteri, modemi namijenjeni za spajanje na internet i preklopnici
13. Mikroprocesori s funkcijama povezanima sa sigurnošću
14. Mikrokontroleri s funkcijama povezanima sa sigurnošću
15. Integrirani krugovi specijalizirane namjene (ASIC) i programirljivi logički sklopovi (FPGA) s funkcijama povezanima sa sigurnošću
16. Virtualni asistenti opće namjene za pametne kuće
17. Proizvodi za pametne kuće sa sigurnosnim funkcijama, uključujući pametne brave za vrata, sigurnosne kamere, sustave za nadzor male djece i alarmne sustave
18. Igračke povezane s internetom obuhvaćene Direktivom 2009/48/EZ Europskog parlamenta i Vijeća (
4
) koje imaju društvene interaktivne značajke (npr. govor ili snimanje) ili imaju značajke praćenja lokacije
19. Osobni nosivi proizvodi koje treba nositi ili staviti na ljudsko tijelo i koji imaju svrhu praćenja zdravlja (kao što je praćenje) i na koje se ne primjenjuju Uredba (EU) 2017/745 ili Uredba (EU) 2017/746 ili osobni nosivi proizvodi koji su namijenjeni za upotrebu od strane djece ili za djecu
II. razred
1. Hipervizori i sustavi za izolirano izvršavanje koji omogućuju virtualizirano izvršavanje operativnih sustava i slična okruženja
2. Vatrozidovi, sustavi za otkrivanje i sprečavanje neovlaštenih upada
3. Mikroprocesori otporni na manipuliranje
4. Mikrokontroleri otporni na manipuliranje
|
|
PRILOG IV. KRITIČNI PROIZVODI S DIGITALNIM ELEMENTIMA
|
PRILOG IV.
KRITIČNI PROIZVODI S DIGITALNIM ELEMENTIMA
1. Hardverski uređaji sa sigurnosnim kutijama
2. Pristupnici pametnih brojila u okviru pametnih sustava mjerenja kako su definirani u članku 2. točki 23. Direktive (EU) 2019/944 Europskog parlamenta i Vijeća (
5
) i drugi uređaji za napredne sigurnosne svrhe, među ostalim za sigurnu kriptoobradu
3. Pametne kartice ili slični uređaji, uključujući sigurne elemente
|
|
PRILOG V. EU IZJAVA O SUKLADNOSTI
|
PRILOG V.
EU IZJAVA O SUKLADNOSTI
EU izjava o sukladnosti iz članka 28. sadržava sve sljedeće podatke:
1.
naziv i vrstu proizvoda s digitalnim elementima te sve dodatne podatke na temelju kojih ga je moguće jedinstveno identificirati
2.
ime i adresu proizvođača ili njegova ovlaštenog zastupnika
3.
izjavu da je za izdavanje EU izjave o sukladnosti odgovoran isključivo dobavljač
4.
predmet izjave (identifikacijski podaci proizvoda s digitalnim elementima koji omogućuju sljedivost, što prema potrebi može uključivati fotografiju)
5.
izjavu da je opisani predmet izjave sukladan s relevantnim zakonodavstvom Unije o usklađivanju
6.
upućivanje na sve relevantne primijenjene usklađene norme ili bilo koju drugu zajedničku specifikaciju ili kibernetičku sigurnosnu certifikaciju na temelju koje se izjavljuje sukladnost
7.
ako je primjenjivo, ime i identifikacijski broj prijavljenog tijela, opis provedenog postupka ocjenjivanja sukladnosti te identifikacijsku oznaku izdane potvrde
8.
dodatne informacije:
Potpisano za i u ime:
(mjesto i datum izdavanja):
(ime, funkcija) (potpis):
|
|
PRILOG VI. POJEDNOSTAVLJENA EU IZJAVA O SUKLADNOSTI
|
PRILOG VI.
POJEDNOSTAVLJENA EU IZJAVA O SUKLADNOSTI
Pojednostavljena EU izjava o sukladnosti iz članka 13. stavka 20. sastavlja se kako slijedi:
[Ime proizvođača] … ovime izjavljuje da je vrsta proizvoda s digitalnim elementima … [oznaka vrste proizvoda s digitalnim elementom] u skladu s Uredbom (EU) 2024/2847 (
6
). Cjeloviti tekst EU izjave o sukladnosti dostupan je na sljedećoj internetskoj adresi: …
|
|
PRILOG VII. SADRŽAJ TEHNIČKE DOKUMENTACIJE
|
PRILOG VII.
SADRŽAJ TEHNIČKE DOKUMENTACIJE
Tehnička dokumentacija iz članka 31. sadržava barem sljedeće informacije, ovisno o tome što je primjenjivo na određeni proizvod s digitalnim elementima:
1.
opći opis proizvoda s digitalnim elementima, uključujući:
(b)
verzije softvera koje utječu na sukladnost s bitnim zahtjevima u pogledu kibernetičke sigurnosti;
(c)
ako je proizvod s digitalnim elementima hardverski proizvod, fotografije ili ilustracije koje prikazuju vanjska obilježja, oznake i unutarnji raspored;
(d)
informacije i upute za korisnike kako su utvrđene u Prilogu II.;
2.
opis projektiranja, razvoja i proizvodnje proizvoda s digitalnim elementima te procese postupanja s ranjivostima, uključujući:
(a)
potrebne informacije o projektiranju i razvoju proizvoda s digitalnim elementima, uključujući, ako je primjenjivo, crteže i sheme i/ili opis arhitekture sustava iz kojih se vidjeti međuovisnost ili odnos softverskih komponenti i kako su integrirane u cjelokupnu obradu;
(b)
potrebne informacije i specifikacije procesa postupanja s ranjivostima koje je uveo proizvođač, uključujući popis softverskog materijala, politiku koordiniranog otkrivanja ranjivosti, dokaz o uspostavljanju adrese za kontakt za prijavljivanje ranjivosti te opis tehničkih rješenja odabranih za sigurnu distribuciju ažuriranja;
(c)
potrebne informacije i specifikacije koje se odnose na procese proizvodnje i praćenja proizvoda s digitalnim elementima i validaciju tih procesa;
3.
procjenu kibernetičkih sigurnosnih rizika koji su uzeti u obzir pri projektiranju, razvoju, proizvodnji, isporuci i održavanju proizvoda s digitalnim elementima u skladu s člankom 13., uključujući način na koji se primjenjuju bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u dijelu I. Priloga I.;
4.
relevantne informacije koje su uzete u obzir pri utvrđivanju razdoblja potpore u skladu s člankom 13. stavkom 8. za proizvod s digitalnim elementima;
5.
popis u cijelosti ili djelomično primijenjenih usklađenih normi na koje su upućivanja objavljena u Službenom listu Europske unije, zajedničkih specifikacija kako su utvrđene u članku 27. ove Uredbe ili europskih programa kibernetičke sigurnosne certifikacije donesenih u skladu s Uredbom (EU) 2019/881 u skladu s člankom 27. stavkom 8. ove Uredbe, a ako te usklađene norme, zajedničke specifikacije ili europski programi kibernetičke sigurnosne certifikacije nisu primijenjene, opise rješenja koja su prihvaćena kako bi se ispunili bitni zahtjevi u pogledu kibernetičke sigurnosti utvrđeni u dijelovima I. i II. Priloga I., uključujući popis drugih primijenjenih relevantnih tehničkih specifikacija. Ako su usklađene norme, zajedničke specifikacije ili europski programi kibernetičke sigurnosne certifikacije primijenjeni djelomično, u tehničkoj dokumentaciji navode se dijelovi koji su primijenjeni;
6.
izvješća o ispitivanjima provedenima radi provjere sukladnosti proizvoda s digitalnim elementima i procesa postupanja s ranjivostima s primjenjivim bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u dijelovima I. i II. Priloga I.;
7.
primjerak EU izjave o sukladnosti;
8.
ako je primjenjivo, popis softverskog materijala na obrazložen zahtjev tijela za nadzor tržišta pod uvjetom da je to potrebno kako bi to tijelo moglo provjeriti usklađenost s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u Prilogu I.
|
|
PRILOG VIII. POSTUPCI OCJENJIVANJA SUKLADNOSTI
|
PRILOG VIII.
POSTUPCI OCJENJIVANJA SUKLADNOSTI
Dio I. Postupak ocjenjivanja sukladnosti na temelju unutarnje kontrole (na temelju modula A)
1. Unutarnja kontrola je postupak ocjenjivanja sukladnosti kojim proizvođač ispunjava obveze utvrđene u točkama 2., 3. i 4. ovog dijela te osigurava i na vlastitu odgovornost izjavljuje da proizvodi s digitalnim elementima ispunjavaju sve bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu I. Priloga I. te da proizvođač ispunjava bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu II. Priloga I.
2. Proizvođač sastavlja tehničku dokumentaciju opisanu u Prilogu VII.
3. Projektiranje, razvoj, proizvodnja i postupanje s ranjivostima proizvoda s digitalnim elementima
Proizvođač poduzima sve potrebne mjere kako bi se projektiranjem, razvojem, proizvodnjom i procesima postupanja s ranjivostima i njihovim praćenjem osiguralo da su proizvedeni ili razvijeni proizvodi s digitalnim elementima i procesi koje je uspostavio proizvođač usklađeni s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u dijelovima I. i II. Priloga I.
4. Oznaka sukladnosti i izjava o sukladnosti
4.1 Proizvođač stavlja oznaku CE na svaki pojedini proizvod s digitalnim elementima koji ispunjava primjenjive zahtjeve utvrđene u ovoj Uredbi.
4.2 Proizvođač za svaki proizvod s digitalnim elementima sastavlja pisanu EU izjavu o sukladnosti u skladu s člankom 28. i drži je na raspolaganju nacionalnim tijelima zajedno s tehničkom dokumentacijom 10 godina od stavljanja proizvoda s digitalnim elementima na tržište ili tijekom razdoblja potpore, ovisno o tome što je dulje. U EU izjavi o sukladnosti identificira se proizvod s digitalnim elementima za koji je izjava sastavljena. Primjerak EU izjave o sukladnosti stavlja se na raspolaganje relevantnim tijelima na njihov zahtjev.
Obveze proizvođača iz točke 4. u njegovo ime i na njegovu odgovornost može ispuniti njegov ovlašteni zastupnik ako su relevantne obveze navedene u ovlaštenju.
Dio II. EU ispitivanje tipa (na temelju modula B)
1. EU ispitivanje tipa dio je postupka ocjenjivanja sukladnosti u kojem prijavljeno tijelo pregledava tehničko projektiranje i razvoj proizvoda s digitalnim elementima te procese postupanja s ranjivostima koje je uspostavio proizvođač te potvrđuje da proizvod s digitalnim elementima ispunjava bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu I. Priloga I. te da proizvođač ispunjava bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijela II. Priloga I.
2. EU ispitivanje tipa provodi se ocjenjivanjem prikladnosti tehničkog projektiranja i razvoja proizvoda s digitalnim elementima na temelju pregleda tehničke dokumentacije i popratnih dokaza iz točke 3. i pregleda uzoraka jednog ili više kritičnih dijelova predmetnog proizvoda (kombinacija proizvodnog tipa i projektnog tipa).
3. Proizvođač podnosi zahtjev za EU ispitivanje tipa jednom prijavljenom tijelu po vlastitom izboru.
Zahtjev sadržava:
3.1
ime i adresu proizvođača te, ako zahtjev podnosi njegov ovlašteni zastupnik, ime i adresu tog ovlaštenog zastupnika;
3.2
pisanu izjavu da isti zahtjev nije podnesen nijednom drugom prijavljenom tijelu;
3.3
tehničku dokumentaciju na temelju koje je moguće ocijeniti sukladnost proizvoda s digitalnim elementima s primjenjivim bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u dijelu I. Priloga I. i proizvođačeve procese postupanja s ranjivostima utvrđene u dijelu II. Priloga I. te koja uključuje odgovarajuću analizu i procjenu rizika. U tehničkoj dokumentaciji navode se primjenjivi zahtjevi te se ona, u mjeri u kojoj je to bitno za ocjenjivanje, odnosi na projektiranje, proizvodnju i rad proizvoda s digitalnim elementima. Tehnička dokumentacija mora sadržavati, kad je to primjenjivo, barem elemente utvrđene u Prilogu VII.;
3.4
popratne dokaze o prikladnosti tehničkih projektnih i razvojnih rješenja te procesa postupanja s ranjivostima. U tim se dokazima navode svi korišteni dokumenti, posebno ako relevantne usklađene norme ili tehničke specifikacije nisu primijenjene u cijelosti. Ti dokazi prema potrebi uključuju rezultate ispitivanja provedenih u odgovarajućem laboratoriju proizvođača ili nekom drugom laboratoriju koji vrši ispitivanja u njegovo ime i pod njegovom odgovornošću.
4.1
pregledava tehničku dokumentaciju i popratne dokaze kako bi ocijenilo prikladnost tehničkog projektiranja i razvoja proizvoda s digitalnim elementima s obzirom na bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu I. Priloga I. te procesa postupanja s ranjivostima koje je uspostavio proizvođač s obzirom na bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu II. Priloga I.;
4.2
provjerava jesu li uzorci razvijeni ili proizvedeni sukladno s tehničkom dokumentacijom i utvrđuje elemente koji su projektirani i razvijeni u skladu s primjenjivim odredbama relevantnih usklađenih normi ili tehničkih specifikacija te elemente koji nisu projektirani i razvijeni u skladu s relevantnim odredbama tih normi;
4.3
ako je proizvođač za ispunjavanje zahtjeva utvrđenim u Prilogu I. odlučio primijeniti rješenja iz relevantnih usklađenih normi ili tehničkih specifikacija, provodi odgovarajuće preglede i ispitivanja, ili ih daje provesti, kako bi se provjerilo jesu li te norme i specifikacije pravilno primijenjene;
4.4
ako za ispunjavanje zahtjeva utvrđenih u Prilogu I. nisu primijenjena rješenja iz relevantnih usklađenih normi ili tehničkih specifikacija, provodi odgovarajuće preglede i ispitivanja, ili ih daje provesti, kako bi se provjerilo ispunjavaju li rješenja koja je primijenio proizvođač odgovarajuće bitne zahtjeve u pogledu kibernetičke sigurnosti;
4.5
dogovara s proizvođačem mjesto gdje će se provoditi pregledi i ispitivanja.
5. Prijavljeno tijelo sastavlja izvješće o ocjenjivanju u kojem bilježi mjere poduzete u skladu s točkom 4. i njihove rezultate. Ne dovodeći u pitanje njegove obveze prema tijelima koja provode prijavljivanje, prijavljeno tijelo objavljuje sadržaj tog izvješća, u cijelosti ili djelomično, isključivo uz suglasnost proizvođača.
6. Ako tip i procesi postupanja ranjivostima ispunjavaju bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u Prilogu I., prijavljeno tijelo proizvođaču izdaje potvrdu o EU ispitivanju tipa. Ta potvrda sadržava ime i adresu proizvođača, zaključke ispitivanja, uvjete (ako postoje) njezine valjanosti kao i podatke potrebne za identifikaciju odobrenog tipa i odobrenih procesa postupanja s ranjivostima. Potvrda može imati priloge.
Potvrda i njezini prilozi sadržavaju sve relevantne informacije na temelju kojih je moguće ocijeniti sukladnost proizvedenih ili razvijenih proizvoda s digitalnim elementima s ispitanim tipom i procesa postupanja s ranjivostima te provoditi kontrole u upotrebi.
Ako tip i procesi postupanja s ranjivostima ne ispunjavaju primjenjive bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u Prilogu I., prijavljeno tijelo odbija izdati potvrdu o EU ispitivanju tipa i o tome uz detaljno obrazloženje obavješćuje podnositelja zahtjeva.
7. Prijavljeno tijelo prati sve promjene u onom što se općenito smatra najsuvremenijom tehnologijom koje upućuju na to da odobreni tip i procesi postupanja s ranjivostima možda više ne ispunjavaju primjenjive bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u Prilogu I. te odlučuje zahtijevaju li takve promjene daljnje razmatranje. Ako je to slučaj, prijavljeno tijelo o tome obavješćuje proizvođača.
Proizvođač obavješćuje prijavljeno tijelo koje posjeduje tehničku dokumentaciju koja se odnosi na potvrdu o EU ispitivanju tipa o svim preinakama odobrenog tipa i procesima postupanja s ranjivostima koji mogu utjecati na sukladnost s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u Prilogu I. ili uvjetima valjanosti te potvrde. Za takve je izmjene potrebno dodatno odobrenje u obliku dopune izvornoj potvrdi o EU ispitivanju tipa.
8. Prijavljeno tijelo provodi periodične revizije kako bi osiguralo da se procesi postupanja s ranjivostima utvrđeni u dijelu II. Priloga I. provode na odgovarajući način.
9. Svako prijavljeno tijelo obavješćuje svoja tijela koja provode prijavljivanje o potvrdama o EU ispitivanju tipa i svim njihovim dopunama koje je izdalo ili povuklo i periodično ili na zahtjev svojim tijelima koja provode prijavljivanje stavlja na raspolaganje popis potvrda i svih njihovih dopuna koje je odbilo, suspendiralo ili na drugi način ograničilo.
Svako prijavljeno tijelo obavješćuje druga prijavljena tijela o potvrdama o EU ispitivanju tipa i svim njihovim dopunama koje je odbilo, povuklo, suspendiralo ili na drugi način ograničilo, a na zahtjev i o potvrdama i njihovim dopunama koje je izdalo.
Komisija, države članice i druga prijavljena tijela mogu na zahtjev dobiti primjerak potvrda o EU ispitivanju tipa i svih njihovih dopuna. Komisija i države članice mogu na zahtjev dobiti primjerak tehničke dokumentacije i rezultata pregleda koje je provelo prijavljeno tijelo. Prijavljeno tijelo drži primjerak potvrde o EU ispitivanju tipa te njezinih priloga i dopuna, kao i tehnički spis, uključujući dokumentaciju koju je dostavio proizvođač, do isteka valjanosti te potvrde.
10. Proizvođač drži na raspolaganju nacionalnim tijelima primjerak potvrde o EU ispitivanju tipa te njezinih priloga i dopuna te tehničku dokumentaciju 10 godina od stavljanja proizvoda s digitalnim elementima na tržište ili tijekom razdoblja potpore, ovisno o tome što je dulje.
11. Proizvođačev ovlašteni zastupnik može podnijeti zahtjev iz točke 3. i ispuniti obveze iz točaka 7. i 10. ako su relevantne obveze navedene u ovlaštenju.
Dio III. Sukladnost s tipom na temelju unutarnje kontrole proizvodnje (na temelju modula C)
1. Sukladnost s tipom na temelju unutarnje kontrole proizvodnje dio je postupka ocjenjivanja sukladnosti kojim proizvođač ispunjava obveze utvrđene u točkama 2. i 3. ovog dijela te osigurava i izjavljuje da su predmetni proizvodi s digitalnim elementima sukladno s tipom opisanim u potvrdi o EU ispitivanju tipa i da ispunjavaju bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu I. Priloga I. te da proizvođač ispunjava bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu II. Priloga I.
Proizvođač poduzima sve potrebne mjere kako bi se proizvodnjom i njezinim praćenjem osigurala sukladnost proizvedenih proizvoda s digitalnim elementima s tipom opisanim u potvrdi o EU ispitivanju tipa i bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u dijelu I. Priloga I. te osigurava to da proizvođač ispunjava bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu II. Priloga I.
3. Oznaka sukladnosti i izjava o sukladnosti
3.1
Proizvođač stavlja oznaku CE na svaki pojedini proizvod s digitalnim elementima koji je sukladan s tipom opisanim u potvrdi o EU ispitivanju tipa i ispunjava primjenjive zahtjeve utvrđene u ovoj Uredbi.
3.2
Proizvođač za svaki model proizvoda sastavlja pisanu izjavu o sukladnosti i drži je na raspolaganju nacionalnim tijelima 10 godina od stavljanja proizvoda s digitalnim elementima na tržište ili tijekom razdoblja potpore, ovisno o tome što je dulje. U izjavi o sukladnosti identificira se model proizvoda za koji je izjava sastavljena. Primjerak izjave o sukladnosti stavlja se na raspolaganje relevantnim tijelima na njihov zahtjev.
Obveze proizvođača iz točke 3. u njegovo ime i na njegovu odgovornost može ispuniti njegov ovlašteni zastupnik ako su relevantne obveze navedene u ovlaštenju.
Dio IV. Sukladnost na temelju potpunog osiguranja kvalitete (na temelju modula H)
1. Sukladnost na temelju potpunog osiguranja kvalitete je postupak ocjenjivanja sukladnosti kojim proizvođač ispunjava obveze utvrđene u točkama 2. i 5. ovog dijela te osigurava i izjavljuje na vlastitu odgovornost da predmetni proizvodi s digitalnim elementima (ili kategorije proizvoda) ispunjavaju bitne zahtjeve u pogledu kibernetičke sigurnosti utvrđene u dijelu I. Priloga I. i da procesi postupanja s ranjivostima koje je uspostavio proizvođač ispunjavaju zahtjeve utvrđene u dijelu II. Priloga I.
2. Projektiranje, razvoj, proizvodnja i postupanje s ranjivostima proizvoda s digitalnim elementima
Proizvođač primjenjuje odobreni sustav kvalitete iz točke 3. za projektiranje, razvoj i pregled konačnog proizvoda i ispitivanje predmetnih proizvoda s digitalnim elementima te za postupanje s ranjivostima, održava njegovu djelotvornost tijekom razdoblja potpore te podliježe nadzoru iz točke 4.
3.1
Proizvođač podnosi zahtjev za ocjenjivanje svog sustava kvalitete za predmetne proizvode s digitalnim elementima prijavljenom tijelu prema svojem izboru.
Zahtjev mora sadržavati:
(a)
ime i adresu proizvođača te, ako zahtjev podnosi njegov ovlašteni zastupnik, ime i adresu tog ovlaštenog zastupnika;
(b)
tehničku dokumentaciju za jedan model iz svake kategorije proizvoda s digitalnim elementima namijenjene za proizvodnju ili razvoj. Tehnička dokumentacija sadržava, kad je to primjenjivo, barem elemente utvrđene u Prilogu VII.;
(c)
dokumentaciju o sustavu kvalitete; i
(d)
pisanu izjavu da isti zahtjev nije podnesen nijednom drugom prijavljenom tijelu.
3.2
Sustavom kvalitete osigurava se sukladnost proizvoda s digitalnim elementima s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u dijelu I. Priloga I. i sukladnost procesa postupanja s ranjivostima koje je uspostavio proizvođač s bitnim zahtjevima u pogledu kibernetičke sigurnosti utvrđenima u dijelu II. Priloga I.
Sve elemente, zahtjeve i odredbe koje proizvođač primjenjuje sustavno i metodično se dokumentira u obliku pisanih pravila, postupaka i uputa. Na temelju te dokumentacije o sustavu kvalitete mora biti moguće dosljedno tumačenje programa, planova, priručnika i zapisa o kvaliteti.
On prije svega sadržava odgovarajući opis:
(a)
ciljeva kvalitete, organizacijske strukture te odgovornosti i ovlasti uprave s obzirom na projektiranje, razvoj i kvalitetu proizvoda te postupanje s ranjivostima;
(b)
tehničkih specifikacija projektiranja i razvoja, uključujući norme, koje će se primijeniti te, ako se relevantne usklađene norme ili tehničke specifikacije neće primijeniti u cijelosti, načina na koje će se osigurati ispunjavanje bitnih zahtjeva u pogledu kibernetičke sigurnosti utvrđenih u dijelu I. Priloga I. koji se primjenjuju na proizvode s digitalnim elementima;
(c)
specifikacija postupaka, uključujući norme, koje će se primijeniti te, ako se relevantne usklađene norme ili tehničke specifikacije neće primijeniti u cijelosti, načina na koje će se osigurati ispunjavanje bitnih zahtjeva u pogledu kibernetičke sigurnosti utvrđenih u dijelu II. Priloga I. koji se primjenjuju na proizvođača;
(d)
kontrole projektiranja i razvoja te tehnika, procesa i sustavnih mjera za provjeru projektiranja i razvoja koji će se primjenjivati u projektiranju i razvoju proizvoda s digitalnim elementima iz te kategorije proizvoda;
(e)
odgovarajućih tehnika, procesa i sustavnih mjera koji će se primjenjivati u proizvodnji, kontroli kvalitete i osiguranju kvalitete;
(f)
pregleda i ispitivanja koji će se provoditi prije, tijekom i nakon proizvodnje te njihove učestalosti;
(g)
evidencije kvalitete, kao što su inspekcijska izvješća i podaci iz ispitivanja, podaci o umjeravanju i izvješća o osposobljenosti uključenog osoblja;
(h)
načina praćenja postizanja potrebne kvalitete projektiranja i proizvoda te djelotvornosti sustava kvalitete.
3.3
Prijavljeno tijelo ocjenjuje sustav kvalitete kako bi utvrdilo ispunjava li zahtjeve iz točke 3.2.
Ono pretpostavlja sukladnost s tim zahtjevima u pogledu elemenata sustava kvalitete koji su u skladu s odgovarajućim specifikacijama iz nacionalne norme kojom se provodi relevantna usklađena norma ili tehnička specifikacija.
Revizorski tim mora imati iskustva sa sustavima upravljanja kvalitetom i barem jednog člana s iskustvom ocjenjivača u području relevantnog proizvoda i tehnologije proizvoda te mora poznavati primjenjive zahtjeve utvrđene u ovoj Uredbi. Revizija uključuje posjet proizvođačevim objektima, ako postoje, radi ocjenjivanja. Revizorski tim pregledava tehničku dokumentaciju iz točke 3.1. točke (b) kako bi provjerio sposobnost proizvođača da utvrdi primjenjive zahtjeve utvrđene u ovoj Uredbi i provede potrebne preglede za osiguranje sukladnosti proizvoda s digitalnim elementima s tim zahtjevima.
O odluci se obavješćuje proizvođača ili njegova ovlaštenog zastupnika.
Obavijest sadržava zaključke revizije i obrazloženu odluku o ocjeni.
3.4
Proizvođač je dužan ispunjavati obveze koje proizlaze iz odobrenog sustava kvalitete i održavati ga kako bi uvijek bio primjeren i učinkovit.
3.5
Proizvođač obavješćuje prijavljeno tijelo koje je odobrilo sustav kvalitete o svakoj planiranoj izmjeni sustava kvalitete.
Prijavljeno tijelo ocjenjuje sve predložene izmjene i donosi odluku o tome hoće li izmijenjeni sustav kvalitete i dalje ispunjavati zahtjeve iz točke 3.2. ili ga je potrebno ponovno ocijeniti.
O svojoj odluci obavješćuje proizvođača. Obavijest sadržava zaključke pregleda i obrazloženu odluku o ocjeni.
4. Nadzor pod odgovornošću prijavljenog tijela
4.1
Svrha je nadzora osigurati da proizvođač uredno ispunjava obveze koje proizlaze iz odobrenog sustava kvalitete.
4.2
Proizvođač za potrebe ocjenjivanja omogućuje prijavljenom tijelu pristup prostorima za projektiranje, razvoj, proizvodnju, inspekciju, ispitivanje i skladištenje te mu pruža sve potrebne informacije, a posebno:
(a)
dokumentaciju o sustavu kvalitete;
(b)
zapise o kvaliteti iz dijela sustava kvalitete koji se odnosi na projektiranje, kao što su rezultati analiza, proračuni i ispitivanja;
(c)
zapise o kvaliteti iz dijela sustava kvalitete koji se odnosi na proizvodnju, kao što su inspekcijska izvješća i podaci iz ispitivanja, podaci o umjeravanju i izvješća o osposobljenosti uključenog osoblja.
4.3
Prijavljeno tijelo provodi periodične revizije kako bi provjerilo da proizvođač održava i primjenjuje sustav kvalitete te proizvođaču dostavlja izvješće o reviziji.
5. Oznaka sukladnosti i izjava o sukladnosti
5.1
Proizvođač stavlja oznaku CE i, pod odgovornošću prijavljenog tijela iz točke 3.1., identifikacijski broj tog tijela na svaki pojedinačni proizvod s digitalnim elementima koji ispunjava zahtjeve utvrđene u dijelu I. Priloga I.
5.2
Proizvođač za svaki model proizvoda sastavlja pisanu izjavu o sukladnosti i drži je na raspolaganju nacionalnim tijelima 10 godina od stavljanja proizvoda s digitalnim elementima na tržište ili tijekom razdoblja potpore, ovisno o tome što je dulje. U izjavi o sukladnosti mora biti identificiran model proizvoda za koji je izjava sastavljena.
Primjerak izjave o sukladnosti stavlja se na raspolaganje relevantnim tijelima na njihov zahtjev.
6. Proizvođač barem 10 godina od stavljanja proizvoda s digitalnim elementima na tržište ili tijekom razdoblja potpore, ovisno o tome što je dulje, drži na raspolaganju nacionalnim tijelima sljedeću dokumentaciju:
(a)
tehničku dokumentaciju iz točke 3.1.;
(b)
dokumentaciju sustava kvalitete iz točke 3.1.;
(c)
izmjenu iz točke 3.5. kako je odobrena;
(d)
odluke i izvješća prijavljenog tijela iz točaka 3.5. i 4.3.
7. Svako prijavljeno tijelo obavješćuje svoja tijela koja provode prijavljivanje o izdanim ili povučenim odobrenjima sustava kvalitete i periodično ili na zahtjev svojim tijelima koja provode prijavljivanje stavlja na raspolaganje popis odobrenja sustava kvalitete koja je odbilo, suspendiralo ili na drugi način ograničilo.
Svako prijavljeno tijelo obavješćuje druga prijavljena tijela o odobrenjima sustava kvalitete koja je odbilo, suspendiralo ili povuklo, a na zahtjev i o odobrenjima sustava kvalitete koja je izdalo.
Obveze proizvođača iz točaka 3.1., 3.5., 5. i 6. može u njegovo ime i na njegovu odgovornost ispuniti njegov ovlašteni zastupnik ako su relevantne obveze navedene u ovlaštenju.
U vezi s ovim aktom dana je izjava koja se može pronaći u SL C, 2024/6786, 20.11.2024., ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Reference
1.2 Utvrđeni zahtjevi
1.3 Povezani standardi
2. Utvrđeni zahtjevi
3. Povezani standardi
Povezani zadaci
|