KAPITOLA I OBECNÁ USTANOVENÍ

pravidla pro dodání produktů s digitálními prvky na trh s cílem zajistit kybernetickou bezpečnost těchto produktů,

základní požadavky na kybernetickou bezpečnost týkající se navrhování, vývoje a výroby produktů s digitálními prvky a povinnosti hospodářských subjektů v souvislosti s těmito produkty s ohledem na kybernetickou bezpečnost,

základní požadavky na kybernetickou bezpečnost týkající se procesů řešení zranitelnosti zavedené výrobci s cílem zajistit kybernetickou bezpečnost produktů s digitálními prvky během předpokládané doby používání produktu a povinnosti hospodářských subjektů v souvislosti s těmito procesy,

pravidla pro dozor nad trhem, včetně monitoringu, a prosazování pravidel a požadavků uvedených v tomto článku.

„produktem s digitálními prvky“ softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových komponent, které jsou uváděny na trh samostatně;

„zpracováním dat na dálku“ zpracování dat na dálku, pro které výrobce navrhuje a vyvíjí software nebo za jehož návrh a vývoj výrobce odpovídá, přičemž neexistence tohoto softwaru by bránila tomu, aby produkt s digitálními prvky plnil některou ze svých funkcí;

„kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

„softwarem“ část elektronického informačního systému, která sestává z počítačového kódu;

„hardwarem“ fyzický elektronický informační systém nebo jeho části schopné zpracovávat, uchovávat nebo přenášet digitální data;

„komponenta“ software nebo hardware určený pro začlenění do elektronického informačního systému;

„elektronickým informačním systémem“ systém, včetně elektrických nebo elektronických zařízení, který je schopen zpracovávat, uchovávat nebo přenášet digitální data;

„logickým připojením“ virtuální forma datového připojení zajišťovaná prostřednictvím softwarového rozhraní;

„fyzickým připojením“ spojení mezi elektronickými informačními systémy nebo komponentami zajišťované fyzickými prostředky, včetně elektrických, optických nebo mechanických rozhraní, vodičů nebo rádiových vln;

„nepřímým připojením“ připojení k zařízení nebo síti, které neprobíhá přímo, ale spíše jako součást větší soustavy, kterou lze k tomuto zařízení nebo síti přímo připojit;

„koncovým bodem“ jakékoli zařízení, které je připojeno k síti a slouží jako vstupní bod do této sítě;

„hospodářským subjektem“ výrobce, zplnomocněný zástupce, dovozce, distributor nebo jiná fyzická nebo právnická osoba, na kterou se vztahují povinnosti v souvislosti s výrobou produktů s digitálními prvky nebo s jejich dodáváním na trh v souladu s tímto nařízením;

„výrobcem“ fyzická nebo právnická osoba, která vyvíjí nebo vyrábí produkty s digitálními prvky, nebo která nechala produkty s digitálními prvky navrhnout, vyvinout nebo vyrobit a nabízí je pod svým jménem nebo ochrannou známkou, ať už za úplatu, jiné zpeněžení nebo bezplatně;

„správcem softwaru s otevřeným zdrojovým kódem“ právnická osoba jiná než výrobce, jejímž účelem nebo cílem je systematicky a dlouhodobě podporovat vývoj konkrétních produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem a určených pro obchodní činnost, a která zajišťuje životaschopnost těchto produktů;

„zplnomocněným zástupcem“ fyzická nebo právnická osoba usazená v Unii, která byla výrobcem písemně pověřena, aby při plnění konkrétních úkolů jednala jeho jménem;

„dovozcem“ fyzická nebo právnická osoba usazená v Unii, která uvádí na trh produkt s digitálními prvky označený jménem nebo ochrannou známkou fyzické nebo právnické osoby usazené mimo Unii;

„distributorem“ fyzická nebo právnická osoba v dodavatelském řetězci jiná než výrobce nebo dovozce, která dodává produkt s digitálními prvky na trh Unie, aniž by ovlivňovala jeho vlastnosti;

„spotřebitelem“ fyzická osoba, která jedná za účelem, který není v rámci její obchodní činnosti, podnikání, řemesla nebo povolání;

„mikropodniky“, „malými podniky“ a „středními podniky“ mikropodniky, malé podniky a střední podniky ve smyslu definice uvedené v příloze k doporučení 2003/361/ES;

„dobou podpory“ období, během něhož musí výrobce zajistit, aby se zranitelnosti produktu s digitálními prvky řešily účinně a v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II;

„uvedením na trh“ první dodání produktu s digitálními prvky na trh Unie;

„dodáním na trh“ dodání produktu s digitálními prvky k distribuci nebo použití na trhu Unie v rámci obchodní činnosti, ať už za úplatu, nebo bezplatně;

„zamýšleným účelem“ použití produktu s digitálními prvky určené výrobcem, včetně konkrétního kontextu a podmínek použití, které jsou uvedeny v informacích dodaných výrobcem v návodu k použití, v propagačních nebo prodejních materiálech a prohlášeních, jakož i v technické dokumentaci;

„rozumně předvídatelným použitím“ použití, které není nutně zamýšleným účelem uvedeným výrobcem v návodu k použití, propagačních nebo prodejních materiálech a prohlášeních, jakož i v technické dokumentaci, ale které pravděpodobně vyplývá z důvodně předvídatelného lidského chování nebo technických operací nebo interakcí;

„rozumně předvídatelným nesprávným použitím“ použití produktu s digitálními prvky způsobem, který není v souladu s jeho zamýšleným účelem, avšak může vyplývat z důvodně předvídatelného lidského chování nebo z interakce s jinými systémy;

„oznamujícím orgánem“ vnitrostátní orgán odpovědný za stanovení a provádění postupů nezbytných pro posuzování, jmenování a oznamování subjektů posuzování shody a za jejich monitorování;

„posouzením shody“ postup ověřující, zda byly splněny základní požadavky na kybernetickou bezpečnost stanovené v příloze I;

„subjektem posuzování shody“ subjekt posuzování shody ve smyslu čl. 2 bodu 13 nařízení (ES) č. 765/2008;

„oznámeným subjektem“ subjekt posuzování shody určený v souladu s článkem 43 a dalšími příslušnými harmonizačními právními předpisy Unie;

„podstatnou změnou“ změna produktu s digitálními prvky po jeho uvedení na trh, která ovlivňuje soulad produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v části I přílohy I, nebo která vede ke změně zamýšleného účelu, pro nějž bylo provedeno posouzení produktu s digitálními prvky;

„označením CE“ označení, kterým výrobce vyjadřuje, že produkt s digitálními prvky a postupy zavedené výrobcem jsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I a s dalšími použitelnými harmonizačními právními předpisy Unie, které upravují umístění tohoto označení;

„harmonizačními právními předpisy Unie“ právní předpisy Unie uvedené v příloze I nařízení (EU) 2019/1020 a jakékoli jiné právní předpisy Unie harmonizující podmínky pro nabízení výrobků, na něž se vztahuje uvedené nařízení, na trh;

„orgánem dozoru nad trhem“ orgán dozoru nad trhem ve smyslu čl. 3 bodu 4 nařízení (EU) 2019/1020;

„mezinárodní normou“ mezinárodní norma ve smyslu čl. 2 bodu 1 písm. a) nařízení (EU) č. 1025/2012;

„evropskou normou“ evropská norma ve smyslu čl. 2 odst. 1 písm. b) nařízení (EU) č. 1025/2012;

„harmonizovanou normou“ harmonizovaná norma ve smyslu čl. 2 bodu 1 písm. c) nařízení (EU) č. 1025/2012;

„kybernetickým bezpečnostním rizikem“ možnost ztráty nebo narušení v důsledku incidentu, přičemž toto riziko má být vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti výskytu incidentu;

„významným kybernetickým bezpečnostním rizikem“ kybernetické bezpečnostní riziko, o němž lze na základě jeho technických charakteristik předpokládat, že u něj existuje vysoká pravděpodobnost incidentu, který by mohl vést k závažnému negativnímu dopadu, mimo jiné způsobením značné hmotné nebo nehmotné ztráty nebo narušení;

„softwarovým kusovníkem“ (SBOM) formální záznam obsahující podrobné informace o komponentách obsažených v softwarových prvcích produktu s digitálními prvky a o vztazích těchto komponent k dodavatelskému řetězci;

„zranitelností“ slabina, snížená odolnost nebo chyba produktu s digitálními prvky, kterou lze zneužít v rámci kybernetické hrozby;

„zneužitelnou zranitelností“ zranitelnost, která může být za praktických provozních podmínek účinně zneužita nepřátelským subjektem;

„aktivně zneužívanou zranitelností“ zranitelnost, u níž existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému;

„incidentem“ incident ve smyslu čl. 6 bodu 6 směrnice (EU) 2022/2555;

„incidentem s dopadem na bezpečnost produktu s digitálními prvky“ incident, který negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu s digitálními prvky chránit dostupnost, autenticitu, integritu nebo důvěrnost dat nebo funkcí;

„významnou událostí“ významná událost ve smyslu čl. 6 bodu 5 směrnice (EU) 2022/2555;

„kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

„osobními údaji“ osobní údaje ve smyslu čl. 4 bodu 1 nařízení (EU) 2016/679;

„svobodným softwarem s otevřeným zdrojovým kódem“ software, jehož zdrojový kód je volně sdílen a který je zpřístupněn na základě licence k svobodnému softwaru s otevřeným zdrojovým kódem, jež poskytuje veškerá práva na to, aby byl volně přístupný, použitelný, upravitelný a dále distribuovatelný;

„stažením z oběhu“ stažení z oběhu ve smyslu čl. 3 bodu 22 nařízení (EU) 2019/1020;

„stažením z trhu“ stažení z trhu ve smyslu čl. 3 bodu 23 nařízení (EU) 2019/1020;

„týmem CSIRT určeným jako koordinátor“ tým CSIRT, který byl určen koordinátorem podle čl. 12 odst. 1 směrnice (EU) 2022/2555.

splňují základní požadavky na kybernetickou bezpečnost stanovené v části I přílohy I, za předpokladu, že jsou řádně instalovány, udržovány, používány k zamýšlenému účelu nebo za podmínek, které lze rozumně předvídat, a případně vybaveny nezbytnými bezpečnostními aktualizacemi, a

postupy zavedené výrobcem jsou v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v části II přílohy I.

rozvoj dovedností v oblasti kybernetické bezpečnosti a vytváření organizačních a technických nástrojů s cílem zajistit dostatečnou dostupnost kvalifikovaných odborníků na podporu činnosti orgánů dozoru nad trhem a subjektů posuzování shody,

prohloubení spolupráce mezi soukromým sektorem, hospodářskými subjekty, mimo jiné prostřednictvím rekvalifikace a prohlubování dovedností zaměstnanců výrobců, a mezi spotřebiteli, poskytovateli odborné přípravy a veřejnou správou, čímž rozšíří možnosti mladých lidí získat přístup k pracovním místům v odvětví kybernetické bezpečnosti.