KAPITEL I ALMINDELIGE BESTEMMELSER

regler for tilgængeliggørelse på markedet af produkter med digitale elementer for at sikre cybersikkerheden for sådanne produkter

væsentlige cybersikkerhedskrav til design, udvikling og produktion af produkter med digitale elementer og forpligtelser for erhvervsdrivende i forbindelse med disse produkter med hensyn til cybersikkerhed

væsentlige cybersikkerhedskrav til sårbarhedshåndteringsprocesser, som fabrikanterne skal indføre for at sikre cybersikkerheden for produkter med digitale elementer i den periode, hvor produkterne forventes at være i brug, og forpligtelser for erhvervsdrivende i forbindelse med disse processer

regler om markedsovervågning, herunder tilsyn, og håndhævelse af de regler og krav, der er omhandlet i denne artikel.

»produkt med digitale elementer«: et software- eller hardwareprodukt og dets fjerndatabehandlingsløsninger, herunder software- eller hardwarekomponenter, der bringes i omsætning separat

»fjerndatabehandling«: databehandling på afstand, til hvilken softwaren er designet og udviklet af fabrikanten eller under fabrikantens ansvar, og hvis fravær ville forhindre produktet med digitale elementer i at udføre en af sine funktioner

»cybersikkerhed«: cybersikkerhed som defineret i artikel 2, nr. 1), i forordning (EU) 2019/881

»software«: den del af et elektronisk informationssystem, der består af maskinkode

»hardware«: et fysisk elektronisk informationssystem eller dele heraf, der kan behandle, lagre eller overføre digitale data

»komponent«: software eller hardware, der er beregnet til integration i et elektronisk informationssystem

»elektronisk informationssystem«: et system, herunder elektrisk eller elektronisk udstyr, der kan behandle, lagre eller overføre digitale data

»logisk forbindelse«: virtuel gengivelse af en dataforbindelse, der implementeres via en softwaregrænseflade

»fysisk forbindelse«: en forbindelse mellem elektroniske informationssystemer eller komponenter, der implementeres ved hjælp af fysiske midler, herunder via elektriske, optiske eller mekaniske grænseflader, kabler eller radiobølger

»indirekte forbindelse«: en forbindelse til udstyr eller netværk, som ikke sker direkte, men snarere som en del af et større system, der kan tilsluttes direkte til en sådan enhed eller et sådant netværk

»adgangspunkt«: enhver enhed, der er tilsluttet et netværk og fungerer som indgangspunkt til dette netværk

»erhvervsdrivende«: fabrikanten, den bemyndigede repræsentant, importøren, distributøren eller anden fysisk eller juridisk person, der har forpligtelser i forbindelse med fremstillingen af produkter med digitale elementer eller tilgængeliggørelsen af produkter med digitale elementer på markedet i overensstemmelse med denne forordning

»fabrikant«: en fysisk eller juridisk person, som udvikler eller fremstiller produkter med digitale elementer eller får produkter med digitale elementer designet, udviklet eller fremstillet, og som markedsfører dem under sit navn eller varemærke mod vederlag, ved kommerciel udnyttelse eller uden vederlag

»open source software-forvalter«: en juridisk person, som ikke er en fabrikant, og som har til formål eller mål systematisk at yde vedvarende støtte til udvikling af specifikke produkter med digitale elementer, der kan betegnes som gratis open source-software, og som er beregnet til kommercielle aktiviteter, og som sikrer disse produkters levedygtighed

»bemyndiget repræsentant«: en i Unionen etableret fysisk eller juridisk person, som har modtaget en skriftlig fuldmagt fra en fabrikant til at handle på dennes vegne i forbindelse med varetagelsen af specifikke opgaver

»importør«: en i Unionen etableret fysisk eller juridisk person, og som bringer et produkt med digitale elementer, som bærer en uden for Unionen etableret fysisk eller juridisk persons navn eller varemærke, i omsætning

»distributør«: en fysisk eller juridisk person i forsyningskæden, bortset fra fabrikanten eller importøren, som gør et produkt med digitale elementer tilgængeligt på EU-markedet uden at have indflydelse på dets egenskaber

»forbruger«: en fysisk person, der ikke handler som led i en pågældende persons erhverv, forretning, håndværk eller profession

»mikrovirksomheder«, »små virksomheder« og »mellemstore virksomheder«: henholdsvis mikrovirksomheder, små virksomheder og mellemstore virksomheder som defineret i bilaget til henstilling 2003/361/EF

»supportperiode«: den periode, hvor det kræves, at en fabrikant sikrer, at sårbarheder i et produkt med digitale elementer håndteres effektivt og i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I, del II

»bringe i omsætning«: første tilgængeliggørelse af et produkt med digitale elementer på EU-markedet

»gøre tilgængelig på markedet«: levering af et produkt med digitale elementer med henblik på distribution eller anvendelse på EU-markedet som led i erhvervsvirksomhed mod eller uden vederlag

»tilsigtet formål«: den anvendelse, som et produkt med digitale elementer er bestemt til ifølge fabrikanten, herunder den specifikke sammenhæng og de specifikke betingelser for anvendelse som angivet i de oplysninger, fabrikanten har givet i brugsanvisningerne, i reklame- eller salgsmaterialet og -erklæringerne samt i den tekniske dokumentation

»anvendelse, der med rimelighed kan forudses«: anvendelse, som ikke nødvendigvis er det tilsigtede formål, som fabrikanten har angivet i brugsanvisningerne, i reklame- eller salgsmaterialet og -erklæringerne samt i den tekniske dokumentation, men som kan forventes som følge af menneskelig adfærd eller tekniske operationer eller interaktioner, der med rimelighed kan forudses

»fejlanvendelse, der med rimelighed kan forudses«: anvendelse af et produkt med digitale elementer på en måde, der ikke er i overensstemmelse med systemets tilsigtede formål, men som kan skyldes menneskelig adfærd eller interaktion med andre systemer, der med rimelighed kan forudses

»bemyndigende myndighed«: den nationale myndighed, der er ansvarlig for at indføre og gennemføre de nødvendige procedurer for vurdering, udpegelse og bemyndigelse af overensstemmelsesvurderingsorganer og for overvågning heraf

»overensstemmelsesvurdering«: en proces til verificering af, hvorvidt de væsentlige cybersikkerhedskrav i bilag I er opfyldt

»overensstemmelsesvurderingsorgan«: et overensstemmelsesvurderingsorgan som defineret i artikel 2, nr. 13), i forordning (EF) nr. 765/2008

»bemyndiget organ«: et overensstemmelsesvurderingsorgan, der er udpeget i overensstemmelse med artikel 43 og anden relevant EU-harmoniseringslovgivning

»væsentlig ændring«: en ændring af produktet med digitale elementer, efter at det er bragt i omsætning, som har indvirkning på overensstemmelsen af produktet med digitale elementer med de væsentlige cybersikkerhedskrav i bilag I, del I, eller som medfører en ændring af det tilsigtede formål, for hvilket produktet med digitale elementer er blevet vurderet

»CE-mærkning«: mærkning, hvormed en fabrikant angiver, at et produkt med digitale elementer og de processer, som fabrikanten har indført, er i overensstemmelse med de væsentlige cybersikkerhedskrav i bilag I og anden gældende EU-harmoniseringslovgivning om anbringelse af denne mærkning

»EU-harmoniseringslovgivning«: EU-lovgivningen i bilag I til forordning (EU) 2019/1020 og enhver anden EU-lovgivning, der harmoniserer betingelserne for markedsføring af produkter, på hvilke nævnte forordning finder anvendelse

»markedsovervågningsmyndighed«: en markedsovervågningsmyndighed som defineret i artikel 3, nr. 4), i forordning (EU) 2019/1020

»international standard«: en international standard som defineret i artikel 2, nr. 1), litra a), i forordning (EU) nr. 1025/2012

»europæisk standard«: en europæisk standard som defineret i artikel 2, nr. 1), litra b), i forordning (EU) nr. 1025/2012

»harmoniseret standard«: en harmoniseret standard som defineret i artikel 2, nr. 1), litra c), i forordning (EU) nr. 1025/2012

»cybersikkerhedsrisiko«: potentialet for tab eller forstyrrelse som følge af en hændelse, der skal udtrykkes som en kombination af størrelsen af et sådant tab eller en sådan forstyrrelse og sandsynligheden for, at hændelsen indtræffer

»væsentlig cybersikkerhedsrisiko«: en cybersikkerhedsrisiko, hvor der som følge af dens tekniske karakteristika kan antages at være en stor sandsynlighed for en hændelse, som kan have en alvorlig negativ indvirkning, herunder ved at forårsage betydelige materielle eller immaterielle tab eller forstyrrelser

»softwarekomponentliste«: en formel fortegnelse med nærmere oplysninger om og forsyningskæderelationer for komponenter, der indgår i softwareelementerne i et produkt med digitale elementer

»sårbarhed«: en svaghed, modtagelighed eller fejl ved et produkt med digitale elementer, som kan udnyttes af en cybertrussel

»sårbarhed, der kan udnyttes«: en sårbarhed, der potentielt kan udnyttes effektivt af en modstander under praktiske operationelle forhold

»aktivt udnyttet sårbarhed«: en sårbarhed, hvor der er pålidelig dokumentation for, at en ondsindet aktør har udnyttet sårbarheden i et system uden tilladelse fra systemejeren

»hændelse«: en hændelse som defineret i artikel 6, nr. 6), i direktiv (EU) 2022/2555

»hændelse, der har indvirkning på sikkerheden af produktet med digitale elementer«: en hændelse, der har en negativ indvirkning på eller negativt kan påvirke evnen for et produkt med digitale elementer til at beskytte tilgængeligheden, autenticiteten, integriteten eller fortroligheden af data eller funktioner

»nærvedhændelse«: en nærvedhændelse som defineret i artikel 6, nr. 5), i direktiv (EU) 2022/2555

»cybertrussel«: en cybertrussel som defineret i artikel 2, nr. 8), i forordning (EU) 2019/881

»personoplysninger«: personoplysninger som defineret i artikel 4, nr. 1), i forordning (EU) 2016/679

»gratis open source-software«: software, hvis kildekode deles åbent, og som stilles til rådighed under en gratis open source-licens, der giver alle rettigheder til, at den kan deles åbent og er frit tilgængelig, anvendelig, redigerbar og redistribuerbar

»tilbagekaldelse«: tilbagekaldelse som defineret i artikel 3, stk. 22, i forordning (EU) 2019/1020

»tilbagetrækning«: tilbagetrækning som defineret i artikel 3, nr. 23), i forordning (EU) 2019/1020

»CSIRT, der er udpeget som koordinator«: en CSIRT, der er udpeget som koordinator i henhold til artikel 12, stk. 1, i direktiv (EU) 2022/2555.

de opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, forudsat at de er korrekt installeret og vedligeholdt og anvendes til det tilsigtede formål eller på betingelser, der med rimelighed kan forudses, og, i givet fald, at de nødvendige sikkerhedsmæssige opdateringer er blevet installeret, og

de processer, som fabrikanten har indført, opfylder de væsentlige cybersikkerhedskrav i bilag I, del II.

udvikle færdigheder inden for cybersikkerhed og skabe organisatoriske og teknologiske værktøjer for at sikre tilstrækkelig tilgængelighed af kvalificerede fagfolk med henblik på at støtte markedsovervågningsmyndighedernes og overensstemmelsesvurderingsorganernes aktiviteter

øge samarbejdet mellem den private sektor, erhvervsdrivende, herunder gennem omskoling eller opkvalificering af fabrikanternes ansatte, forbrugere, udbydere af uddannelse samt offentlige forvaltninger, hvorved unges muligheder for at få adgang til job i cybersikkerhedssektoren udvides.