+EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS (ES) 2024/2847 2024 m. spalio 23 d. dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų produktams su skaitmeniniais elementais, kuriuo iš dalies keičiami reglamentai (ES) Nr. 168/2013 bei (ES) 2019/1020 ir Direktyva (ES) 2020/1828 (Kibernetinio atsparumo aktas) (Tekstas svarbus EEE)
---+I SKYRIUS BENDROSIOS NUOSTATOS
------+1 straipsnis Dalykas
------+2 straipsnis Taikymo sritis
---------+2 straipsnis 1.
---------+2 straipsnis 2.
---------+2 straipsnis 3.
---------+2 straipsnis 4.
---------+2 straipsnis 5.
---------+2 straipsnis 6.
---------+2 straipsnis 7.
---------+2 straipsnis 8.
------+3 straipsnis Terminų apibrėžtys
------+4 straipsnis Laisvas judėjimas
---------+4 straipsnis 1.
---------+4 straipsnis 2.
---------+4 straipsnis 3.
---------+4 straipsnis 4.
------+5 straipsnis Produktų su skaitmeniniais elementais viešieji pirkimai arba naudojimas
---------+5 straipsnis 1.
---------+5 straipsnis 2.
------+6 straipsnis Produktams su skaitmeniniais elementais taikomi reikalavimai
------+7 straipsnis Svarbūs produktai su skaitmeniniais elementais
---------+7 straipsnis 1.
---------+7 straipsnis 2.
---------+7 straipsnis 3.
---------+7 straipsnis 4.
------+8 straipsnis Ypatingos svarbos produktai su skaitmeniniais elementais
---------+8 straipsnis 1.
---------+8 straipsnis 2.
------+9 straipsnis Konsultacijos su suinteresuotaisiais subjektais
---------+9 straipsnis 1.
---------+9 straipsnis 2.
------+10 straipsnis Įgūdžių stiprinimas kibernetiškai atsparioje skaitmeninėje aplinkoje
------+11 straipsnis Bendroji produktų sauga
------+12 straipsnis Didelės rizikos DI sistemos
---------+12 straipsnis 1.
---------+12 straipsnis 2.
---------+12 straipsnis 3.
---------+12 straipsnis 4.
---+II SKYRIUS EKONOMINĖS VEIKLOS VYKDYTOJŲ PAREIGOS IR NUOSTATOS, SUSIJUSIOS SU LAISVĄJA IR ATVIRĄJA PROGRAMINE ĮRanga
------+13 straipsnis Gamintojų pareigos
---------+13 straipsnis 1.
---------+13 straipsnis 2.
---------+13 straipsnis 3.
---------+13 straipsnis 4.
---------+13 straipsnis 5.
---------+13 straipsnis 6.
---------+13 straipsnis 7.
---------+13 straipsnis 8.
---------+13 straipsnis 9.
---------+13 straipsnis 10.
---------+13 straipsnis 11.
---------+13 straipsnis 12.
---------+13 straipsnis 13.
---------+13 straipsnis 14.
---------+13 straipsnis 15.
---------+13 straipsnis 16.
---------+13 straipsnis 17.
---------+13 straipsnis 18.
---------+13 straipsnis 19.
---------+13 straipsnis 20.
---------+13 straipsnis 21.
---------+13 straipsnis 22.
---------+13 straipsnis 23.
---------+13 straipsnis 24.
---------+13 straipsnis 25.
------+14 straipsnis Gamintojų pareiga pranešti
---------+14 straipsnis 1.
---------+14 straipsnis 2.
---------+14 straipsnis 3.
---------+14 straipsnis 4.
---------+14 straipsnis 5.
---------+14 straipsnis 6.
---------+14 straipsnis 7.
---------+14 straipsnis 8.
---------+14 straipsnis 9.
---------+14 straipsnis 10.
------+15 straipsnis Savanoriškas pranešimas
---------+15 straipsnis 1.
---------+15 straipsnis 2.
---------+15 straipsnis 3.
---------+15 straipsnis 4.
---------+15 straipsnis 5.
------+16 straipsnis Bendros pranešimų teikimo platformos sukūrimas
---------+16 straipsnis 1.
---------+16 straipsnis 2.
---------+16 straipsnis 3.
---------+16 straipsnis 4.
---------+16 straipsnis 5.
---------+16 straipsnis 6.
------+17 straipsnis Kitos su pranešimu susijusios nuostatos
---------+17 straipsnis 1.
---------+17 straipsnis 2.
---------+17 straipsnis 3.
---------+17 straipsnis 4.
---------+17 straipsnis 5.
---------+17 straipsnis 6.
------+18 straipsnis Įgaliotieji atstovai
---------+18 straipsnis 1.
---------+18 straipsnis 2.
---------+18 straipsnis 3.
------+19 straipsnis Importuotojų pareigos
---------+19 straipsnis 1.
---------+19 straipsnis 2.
---------+19 straipsnis 3.
---------+19 straipsnis 4.
---------+19 straipsnis 5.
---------+19 straipsnis 6.
---------+19 straipsnis 7.
---------+19 straipsnis 8.
------+20 straipsnis Platintojų pareigos
---------+20 straipsnis 1.
---------+20 straipsnis 2.
---------+20 straipsnis 3.
---------+20 straipsnis 4.
---------+20 straipsnis 5.
---------+20 straipsnis 6.
------+21 straipsnis Atvejai, kuriais importuotojams ir platintojams taikomos gamintojų pareigos
------+22 straipsnis Kiti atvejai, kuriais taikomos gamintojų pareigos
---------+22 straipsnis 1.
---------+22 straipsnis 2.
------+23 straipsnis Ekonominės veiklos vykdytojų identifikavimas
---------+23 straipsnis 1.
---------+23 straipsnis 2.
------+24 straipsnis Atvirosios programinės įrangos valdytojų pareigos
---------+24 straipsnis 1.
---------+24 straipsnis 2.
---------+24 straipsnis 3.
------+25 straipsnis Laisvosios ir atvirosios programinės įrangos saugumo patvirtinimas
------+26 straipsnis Gairės
---------+26 straipsnis 1.
---------+26 straipsnis 2.
---------+26 straipsnis 3.
---+III SKYRIUS PRODUKTO SU SKAITMENINIAIS ELEMENTAIS ATITIKTIS
------+27 straipsnis Atitikties prezumpcija
---------+27 straipsnis 1.
---------+27 straipsnis 2.
---------+27 straipsnis 3.
---------+27 straipsnis 4.
---------+27 straipsnis 5.
---------+27 straipsnis 6.
---------+27 straipsnis 7.
---------+27 straipsnis 8.
---------+27 straipsnis 9.
------+28 straipsnis ES atitikties deklaracija
---------+28 straipsnis 1.
---------+28 straipsnis 2.
---------+28 straipsnis 3.
---------+28 straipsnis 4.
---------+28 straipsnis 5.
------+29 straipsnis Bendrieji ženklinimo CE ženklu principai
------+30 straipsnis Ženklinimo CE ženklu taisyklės ir sąlygos
---------+30 straipsnis 1.
---------+30 straipsnis 2.
---------+30 straipsnis 3.
---------+30 straipsnis 4.
---------+30 straipsnis 5.
---------+30 straipsnis 6.
------+31 straipsnis Techniniai dokumentai
---------+31 straipsnis 1.
---------+31 straipsnis 2.
---------+31 straipsnis 3.
---------+31 straipsnis 4.
---------+31 straipsnis 5.
------+32 straipsnis Produktų su skaitmeniniais elementais atitikties vertinimo procedūros
---------+32 straipsnis 1.
---------+32 straipsnis 2.
---------+32 straipsnis 3.
---------+32 straipsnis 4.
---------+32 straipsnis 5.
---------+32 straipsnis 6.
------+33 straipsnis Paramos priemonės labai mažoms įmonėms ir mažosioms bei vidutinėms įmonėms, įskaitant startuolius
---------+33 straipsnis 1.
---------+33 straipsnis 2.
---------+33 straipsnis 3.
---------+33 straipsnis 4.
---------+33 straipsnis 5.
------+34 straipsnis Abipusio pripažinimo susitarimai
---+IV SKYRIUS ATITIKTIES VERTINIMO ĮSTAIGŲ NOTIFIKAVIMAS
------+35 straipsnis Notifikavimas
---------+35 straipsnis 1.
---------+35 straipsnis 2.
------+36 straipsnis Notifikuojančiosios institucijos
---------+36 straipsnis 1.
---------+36 straipsnis 2.
---------+36 straipsnis 3.
---------+36 straipsnis 4.
------+37 straipsnis Notifikuojančiosioms institucijoms taikomi reikalavimai
---------+37 straipsnis 1.
---------+37 straipsnis 2.
---------+37 straipsnis 3.
---------+37 straipsnis 4.
---------+37 straipsnis 5.
---------+37 straipsnis 6.
------+38 straipsnis Notifikuojančiųjų institucijų pareiga informuoti
---------+38 straipsnis 1.
---------+38 straipsnis 2.
------+39 straipsnis Notifikuotosioms įstaigoms taikomi reikalavimai
---------+39 straipsnis 1.
---------+39 straipsnis 2.
---------+39 straipsnis 3.
---------+39 straipsnis 4.
---------+39 straipsnis 5.
---------+39 straipsnis 6.
---------+39 straipsnis 7.
---------+39 straipsnis 8.
---------+39 straipsnis 9.
---------+39 straipsnis 10.
---------+39 straipsnis 11.
---------+39 straipsnis 12.
------+40 straipsnis Notifikuotųjų įstaigų atitikties prezumpcija
------+41 straipsnis Notifikuotųjų įstaigų patronuojamosios įmonės ir subranga
---------+41 straipsnis 1.
---------+41 straipsnis 2.
---------+41 straipsnis 3.
---------+41 straipsnis 4.
------+42 straipsnis Notifikavimo paraiška
---------+42 straipsnis 1.
---------+42 straipsnis 2.
---------+42 straipsnis 3.
------+43 straipsnis Notifikavimo procedūra
---------+43 straipsnis 1.
---------+43 straipsnis 2.
---------+43 straipsnis 3.
---------+43 straipsnis 4.
---------+43 straipsnis 5.
---------+43 straipsnis 6.
------+44 straipsnis Notifikuotųjų įstaigų identifikaciniai numeriai ir sąrašai
---------+44 straipsnis 1.
---------+44 straipsnis 2.
------+45 straipsnis Notifikavimų pakeitimai
---------+45 straipsnis 1.
---------+45 straipsnis 2.
------+46 straipsnis Notifikuotųjų įstaigų kompetencijos užginčijimas
---------+46 straipsnis 1.
---------+46 straipsnis 2.
---------+46 straipsnis 3.
---------+46 straipsnis 4.
------+47 straipsnis Notifikuotųjų įstaigų su veikla susijusios pareigos
---------+47 straipsnis 1.
---------+47 straipsnis 2.
---------+47 straipsnis 3.
---------+47 straipsnis 4.
---------+47 straipsnis 5.
---------+47 straipsnis 6.
------+48 straipsnis Notifikuotųjų įstaigų sprendimų apskundimas
------+49 straipsnis Notifikuotųjų įstaigų pareiga informuoti
---------+49 straipsnis 1.
---------+49 straipsnis 2.
------+50 straipsnis Keitimasis patirtimi
------+51 straipsnis Notifikuotųjų įstaigų veiklos koordinavimas
---------+51 straipsnis 1.
---------+51 straipsnis 2.
---+V SKYRIUS RINKOS PRIEŽIŪRA IR VYKDYMO UŽTIKRINIMAS
------+52 straipsnis Produktų su skaitmeniniais elementais priežiūra ir kontrolė Sąjungos rinkoje
---------+52 straipsnis 1.
---------+52 straipsnis 2.
---------+52 straipsnis 3.
---------+52 straipsnis 4.
---------+52 straipsnis 5.
---------+52 straipsnis 6.
---------+52 straipsnis 7.
---------+52 straipsnis 8.
---------+52 straipsnis 9.
---------+52 straipsnis 10.
---------+52 straipsnis 11.
---------+52 straipsnis 12.
---------+52 straipsnis 13.
---------+52 straipsnis 14.
---------+52 straipsnis 15.
---------+52 straipsnis 16.
------+53 straipsnis Prieiga prie duomenų ir dokumentų
------+54 straipsnis Nacionaliniu lygmeniu taikoma procedūra dėl produktų su skaitmeniniais elementais, keliančių didelę kibernetinio saugumo riziką
---------+54 straipsnis 1.
---------+54 straipsnis 2.
---------+54 straipsnis 3.
---------+54 straipsnis 4.
---------+54 straipsnis 5.
---------+54 straipsnis 6.
---------+54 straipsnis 7.
---------+54 straipsnis 8.
---------+54 straipsnis 9.
------+55 straipsnis Sąjungos apsaugos procedūra
---------+55 straipsnis 1.
---------+55 straipsnis 2.
---------+55 straipsnis 3.
---------+55 straipsnis 4.
---------+55 straipsnis 5.
------+56 straipsnis Sąjungos lygmeniu taikoma procedūra dėl produktų su skaitmeniniais elementais, keliančių didelę kibernetinio saugumo riziką
---------+56 straipsnis 1.
---------+56 straipsnis 2.
---------+56 straipsnis 3.
---------+56 straipsnis 4.
---------+56 straipsnis 5.
---------+56 straipsnis 6.
---------+56 straipsnis 7.
------+57 straipsnis Reikalavimus atitinkantys produktai su skaitmeniniais elementais, keliantys didelę kibernetinio saugumo riziką
---------+57 straipsnis 1.
---------+57 straipsnis 2.
---------+57 straipsnis 3.
---------+57 straipsnis 4.
---------+57 straipsnis 5.
---------+57 straipsnis 6.
---------+57 straipsnis 7.
---------+57 straipsnis 8.
---------+57 straipsnis 9.
---------+57 straipsnis 10.
---------+57 straipsnis 11.
------+58 straipsnis Oficiali neatitiktis
---------+58 straipsnis 1.
---------+58 straipsnis 2.
------+59 straipsnis Bendra rinkos priežiūros institucijų veikla
---------+59 straipsnis 1.
---------+59 straipsnis 2.
---------+59 straipsnis 3.
---------+59 straipsnis 4.
---------+59 straipsnis 5.
------+60 straipsnis Tikslinės patikros
---------+60 straipsnis 1.
---------+60 straipsnis 2.
---------+60 straipsnis 3.
---------+60 straipsnis 4.
---------+60 straipsnis 5.
---+VI SKYRIUS DELEGUOTIEJI ĮGALIOJIMAI IR KOMITETO PROCEDŪRA
------+61 straipsnis Naudojimasis įgaliojimais
---------+61 straipsnis 1.
---------+61 straipsnis 2.
---------+61 straipsnis 3.
---------+61 straipsnis 4.
---------+61 straipsnis 5.
---------+61 straipsnis 6.
------+62 straipsnis Komiteto procedūra
---------+62 straipsnis 1.
---------+62 straipsnis 2.
---------+62 straipsnis 3.
---+VII SKYRIUS KONFIDENCIALUMAS IR SANKCIJOS
------+63 straipsnis Konfidencialumas
---------+63 straipsnis 1.
---------+63 straipsnis 2.
---------+63 straipsnis 3.
---------+63 straipsnis 4.
------+64 straipsnis Sankcijos
---------+64 straipsnis 1.
---------+64 straipsnis 2.
---------+64 straipsnis 3.
---------+64 straipsnis 4.
---------+64 straipsnis 5.
---------+64 straipsnis 6.
---------+64 straipsnis 7.
---------+64 straipsnis 8.
---------+64 straipsnis 9.
---------+64 straipsnis 10.
------+65 straipsnis Atstovaujamieji ieškiniai
---+VIII SKYRIUS PEREINAMOJO LAIKOTARPIO IR BAIGIAMOSIOS NUOSTATOs
------+66 straipsnis Reglamento (ES) 2019/1020 dalinis pakeitimas
------+67 straipsnis Direktyvos (ES) 2020/1828 dalinis pakeitimas
------+68 straipsnis Reglamento (ES) Nr. 168/2013 dalinis pakeitimas
------+69 straipsnis Pereinamojo laikotarpio nuostatos
---------+69 straipsnis 1.
---------+69 straipsnis 2.
---------+69 straipsnis 3.
------+70 straipsnis Vertinimas ir peržiūra
---------+70 straipsnis 1.
---------+70 straipsnis 2.
------+71 straipsnis Įsigaliojimas ir taikymas
---------+71 straipsnis 1.
---------+71 straipsnis 2.
---+I PRIEDAS ESMINIAI KIBERNETINIO SAUGUMO REIKALAVIMAI
---+II PRIEDAS NAUDOTOJUI SKIRTA INFORMACIJA IR INSTRUKCIJOS
---+III PRIEDAS SVARBŪS PRODUKTAI SU SKAITMENINIAIS ELEMENTAIS
---+IV PRIEDAS YPATINGOS SVARBOS PRODUKTAI SU SKAITMENINIAIS ELEMENTAIS
---+V PRIEDAS ES ATITIKTIES DEKLARACIJA
---+VI PRIEDAS SUPAPRASTINTA ES ATITIKTIES DEKLARACIJA
---+VII PRIEDAS TECHNINIŲ DOKUMENTŲ TURINYS
---+VIII PRIEDAS ATITIKTIES VERTINIMO PROCEDŪROS
|
English -
European Union -
EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS (ES) 2024/2847 2024 m. spalio 23 d. dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų produktams su skaitmeniniais elementais, kuriuo iš dalies keičiami reglamentai (ES) Nr. 168/2013 bei (ES) 2019/1020 ir Direktyva (ES) 2020/1828 (Kibernetinio atsparumo aktas) (Tekstas svarbus EEE)
EUROPOS PARLAMENTO IR TARYBOS REGLAMENTAS (ES) 2024/2847
2024 m. spalio 23 d.
dėl horizontaliųjų kibernetinio saugumo reikalavimų, keliamų produktams su skaitmeniniais elementais, kuriuo iš dalies keičiami reglamentai (ES) Nr. 168/2013 bei (ES) 2019/1020 ir Direktyva (ES) 2020/1828 (Kibernetinio atsparumo aktas)
(Tekstas svarbus EEE)
Šis reglamentas privalomas visas ir tiesiogiai taikomas visose valstybėse narėse.
1. Apžvalga
| Pavadinimas |
Reguliavimas |
|
I SKYRIUS BENDROSIOS NUOSTATOS
|
I SKYRIUS BENDROSIOS NUOSTATOS
|
|
II SKYRIUS EKONOMINĖS VEIKLOS VYKDYTOJŲ PAREIGOS IR NUOSTATOS, SUSIJUSIOS SU LAISVĄJA IR ATVIRĄJA PROGRAMINE ĮRanga
|
II SKYRIUS EKONOMINĖS VEIKLOS VYKDYTOJŲ PAREIGOS IR NUOSTATOS, SUSIJUSIOS SU LAISVĄJA IR ATVIRĄJA PROGRAMINE ĮRanga
|
|
III SKYRIUS PRODUKTO SU SKAITMENINIAIS ELEMENTAIS ATITIKTIS
|
III SKYRIUS PRODUKTO SU SKAITMENINIAIS ELEMENTAIS ATITIKTIS
|
|
IV SKYRIUS ATITIKTIES VERTINIMO ĮSTAIGŲ NOTIFIKAVIMAS
|
IV SKYRIUS ATITIKTIES VERTINIMO ĮSTAIGŲ NOTIFIKAVIMAS
|
|
V SKYRIUS RINKOS PRIEŽIŪRA IR VYKDYMO UŽTIKRINIMAS
|
V SKYRIUS RINKOS PRIEŽIŪRA IR VYKDYMO UŽTIKRINIMAS
|
|
VI SKYRIUS DELEGUOTIEJI ĮGALIOJIMAI IR KOMITETO PROCEDŪRA
|
VI SKYRIUS DELEGUOTIEJI ĮGALIOJIMAI IR KOMITETO PROCEDŪRA
|
|
VII SKYRIUS KONFIDENCIALUMAS IR SANKCIJOS
|
VII SKYRIUS KONFIDENCIALUMAS IR SANKCIJOS
|
|
VIII SKYRIUS PEREINAMOJO LAIKOTARPIO IR BAIGIAMOSIOS NUOSTATOs
|
VIII SKYRIUS PEREINAMOJO LAIKOTARPIO IR BAIGIAMOSIOS NUOSTATOs
|
|
I PRIEDAS ESMINIAI KIBERNETINIO SAUGUMO REIKALAVIMAI
|
I PRIEDAS
ESMINIAI KIBERNETINIO SAUGUMO REIKALAVIMAI
I dalis Kibernetinio saugumo reikalavimai, susiję su produktų su skaitmeniniais elementais savybėmis
1. Produktai su skaitmeniniais elementais projektuojami, kuriami ir gaminami taip, kad, atsižvelgiant į riziką, būtų užtikrintas tinkamas kibernetinio saugumo lygis.
2. Remiantis 13 straipsnio 2 dalyje nurodytu kibernetinio saugumo rizikos vertinimu, kai taikytina, produktams su skaitmeniniais elementais turi būti būdingos šios savybės:
a)
jie tiekiami rinkai be jokio žinomo pažeidžiamumo, kurį būtų galima išnaudoti;
b)
jie tiekiami rinkai su saugia numatytąja konfigūracija, išskyrus atvejus, jei produktą su skaitmeniniais elementais gaminant pagal užsakymą gamintojas ir verslo klientas susitaria kitaip, įskaitant galimybę atkurti pradinę gaminio būseną;
c)
užtikrinama, kad pažeidžiamumą būtų galima pašalinti saugumo naujiniais, įskaitant, kai taikytina, automatinius saugumo naujinius, diegiamus per tinkamą laikotarpį, taikant numatytąjį nustatymą, su aiškiu ir lengvai naudojamu atsisakymo mechanizmu, pranešant naudotojams apie esamus naujinius ir numatant galimybę juos laikinai atidėti;
d)
juose užtikrinama apsauga nuo neteisėtos prieigos atitinkamais kontrolės mechanizmais, įskaitant atpažinimo, tapatybės ar prieigos valdymo sistemas ir pranešimus apie galimą neteisėtą prieigą, bet jomis neapsiribojant;
e)
juose užtikrinamas saugomų, perduodamų ar kitaip apdorojamų asmens ar kitų duomenų konfidencialumas, pavyzdžiui, užšifruojant atitinkamus duomenis pažangiausiomis priemonėmis, kai šie duomenys saugomi arba perduodami, taip pat naudojant kitas technines priemones;
f)
juose užtikrinama saugomų, perduodamų ar kitaip tvarkomų asmens ar kitų duomenų, komandų, programų ir konfigūracijos vientisumo apsauga nuo bet kokių manipuliacijų ar pakeitimų, kurioms naudotojas nesuteikė leidimo, ir pranešama apie pažeidimus;
g)
juose tvarkomi tik tie asmens ar kiti duomenys, kurie yra tinkami, svarbūs ir apsiriboja tik tuo, kas būtina pagal produkto su skaitmeniniais elementais naudojimo numatomąją paskirtį (duomenų kiekio mažinimas);
h)
juose užtikrinama galimybė naudotis esminėmis ir pagrindinėmis funkcijomis, taip pat po incidento, taikant atsparumo paslaugos trikdymo atakoms ir jų padarinių mažinimo priemones;
i)
kuo labiau sumažinamas pačių produktų arba prijungtųjų įrenginių neigiamas poveikis kitų įrenginių ar tinklų teikiamų paslaugų prieinamumui;
j)
jie projektuojami, kuriami ir gaminami taip, kad būtų apribotos atakos pažeidžiamos sritys, įskaitant išorines sąsajas;
k)
jie projektuojami, kuriami ir gaminami taip, kad būtų sumažintas incidento poveikis, naudojant atitinkamus galimybės išnaudoti pažeidžiamas vietas mažinimo mechanizmus ir metodus;
l)
jie teikia su saugumu susijusią informaciją, įrašant arba stebint atitinkamą vidinę veiklą, įskaitant prieigą prie duomenų, paslaugų ar funkcijų arba jų pakeitimą, suteikiant naudotojui galimybę pasinaudoti atsisakymo mechanizmu;
m)
jie suteikia naudotojams galimybę saugiai ir lengvai visam laikui pašalinti visus duomenis ir nustatymus ir, kai tokius duomenis galima perkelti į kitus produktus ar sistemas, užtikrinti, kad tai būtų daroma saugiai.
II dalis Pažeidžiamumo valdymo reikalavimai
Produktų su skaitmeniniais elementais gamintojai:
1.
nustato ir dokumentuoja produktų su skaitmeniniais elementais pažeidžiamumą ir komponentus, taip pat parengdami programinės įrangos medžiagų žiniaraštį įprastu ir kompiuterio skaitomu formatu, apimantį bent jau produktų aukščiausio lygio priklausomybes;
2.
dėl produktams su skaitmeniniais elementais keliamos rizikos nedelsdami pašalina ir ištaiso pažeidžiamumo veiksnius, taip pat teikdami saugumo naujinius; kai techniškai įmanoma, nauji saugumo naujiniai teikiami atskirai nuo funkcijų naujinių;
3.
taiko veiksmingus ir reguliarius produkto su skaitmeniniais elementais saugumo bandymus ir peržiūras;
4.
kai tik saugumo naujinys tampa prieinamas, dalinasi ir viešai atskleidžia informaciją apie pašalintus pažeidžiamumo veiksnius, taip pat pateikdami pažeidžiamumo aprašymą, informaciją, leidžiančią naudotojams identifikuoti paveiktą produktą su skaitmeniniais elementais, pažeidžiamumo poveikį, jo sunkumą ir informaciją, padedančią naudotojams pašalinti pažeidžiamumo priežastis; tinkamai pagrįstais atvejais, kai gamintojai mano, kad paskelbimo saugumo rizika nusveria saugumo naudą, jie gali atidėti viešą informacijos apie pašalintą pažeidžiamumo veiksnį paskelbimą tol, kol naudotojams bus suteikta galimybė taikyti atitinkamą pataisą;
5.
taiko koordinuoto pažeidžiamumo atskleidimo politiką ir užtikrina jos vykdymą;
6.
imasi priemonių, kad palengvintų keitimąsi informacija apie galimą jų produkto su skaitmeniniais elementais ir tame produkte esančių trečiųjų šalių komponentų pažeidžiamumą, taip pat nurodydami kontaktinį adresą pranešimams apie produkte su skaitmeniniais elementais aptiktus pažeidžiamumo veiksnius;
7.
numato produktų su skaitmeniniais elementais saugumo naujinių saugaus platinimo mechanizmus, siekiant užtikrinti, kad pažeidžiamumas būtų laiku ir, jei įmanoma naudojant saugumo naujinius, automatiškai ištaisytas arba būtų sumažintas jo poveikis;
8.
užtikrina, kad atsiradus saugumo naujiniams, skirtiems nustatytoms saugumo problemoms spręsti, jie būtų nedelsiant ir, jeigu produktą su skaitmeniniais elementais gaminant pagal užsakymą gamintojas ir verslo klientas nesusitarė kitaip, nemokamai išplatinti kartu su patariamosiomis žinutėmis, suteikiančiomis naudotojams atitinkamą informaciją, įskaitant informaciją apie veiksmus, kurių gali reikėti imtis.
|
|
II PRIEDAS NAUDOTOJUI SKIRTA INFORMACIJA IR INSTRUKCIJOS
|
II PRIEDAS
NAUDOTOJUI SKIRTA INFORMACIJA IR INSTRUKCIJOS
Kartu su produktu su skaitmeniniais elementais turi būti pateikiama bent ši informacija:
1.
gamintojo pavadinimas, registruotas prekės pavadinimas arba registruotasis prekių ženklas ir pašto adresas, e. pašto adresas ar kita skaitmeninė kontaktinė informacija, taip pat, jei yra, interneto svetainė, kurioje su gamintoju galima susisiekti;
2.
vienas kontaktinis punktas, kuriame galima pranešti ir gauti informaciją apie su kibernetiniu saugumu susijusį produkto su skaitmeniniais elementais pažeidžiamumą, ir kur galima rasti gamintojo politiką dėl koordinuoto pažeidžiamumo atskleidimo;
3.
pavadinimas, tipas ir visa papildoma informacija, leidžianti vienareikšmiškai identifikuoti produktą su skaitmeniniais elementais;
4.
produkto su skaitmeniniais elementais numatytoji paskirtis, įskaitant gamintojo teikiamą saugumo aplinką, taip pat esminės produkto funkcijos ir informacija apie saugumo savybes;
5.
visos žinomos ir numatomos aplinkybės, susijusios su produkto su skaitmeniniais elementais naudojimu pagal numatytąją paskirtį arba pagrįstai numatomo netinkamo naudojimo sąlygomis, dėl kurio gali kilti didelė kibernetinio saugumo rizika;
6.
kai taikytina, interneto adresas, kuriuo galima gauti prieigą prie ES atitikties deklaracijos;
7.
gamintojo siūlomo techninio saugumo palaikymo rūšis ir palaikymo laikotarpio galutinis terminas, per kurį naudotojai gali tikėtis, kad pažeidžiamumas bus tvarkomas, ir gauti saugumo naujinius;
8.
išsamios instrukcijos arba interneto adresas, nukreipiantis į tokias išsamias instrukcijas ir informaciją:
a)
būtinos priemonės produkto su skaitmeniniais elementais pradinio paleidimo metu ir per visą jo naudojimo trukmę, kad būtų užtikrintas jo saugus naudojimas;
b)
kaip produkto su skaitmeniniais elementais pakeitimai gali paveikti duomenų saugumą;
c)
kaip galima įdiegti su saugumu susijusius naujinius;
d)
kaip saugiai nutraukti produkto su skaitmeniniais elementais naudojimą, įskaitant informaciją apie tai, kaip galima saugiai pašalinti naudotojo duomenis;
e)
kaip galima išjungti numatytąjį nustatymą, leidžiantį automatiškai įdiegti saugumo naujinius, kaip reikalaujama I priedo I dalies 2 punkto c papunktyje;
f)
jei produktas su skaitmeniniais elementais yra skirtas integruoti į kitus produktus su skaitmeniniais elementais – informacija, būtina, kad integratorius atitiktų I priede nustatytus esminius kibernetinio saugumo reikalavimus ir VII priede nustatytus dokumentų reikalavimus.
9.
Jei gamintojas nusprendžia pateikti naudotojui programinės įrangos medžiagų žiniaraštį, informacija apie tai, kur tą programinės įrangos medžiagų žiniaraštį galima rasti.
|
|
III PRIEDAS SVARBŪS PRODUKTAI SU SKAITMENINIAIS ELEMENTAIS
|
III PRIEDAS
SVARBŪS PRODUKTAI SU SKAITMENINIAIS ELEMENTAIS
I klasė
1. Tapatybės valdymo sistemos ir privilegijuotos prieigos valdymo programinė ir aparatinė įranga, įskaitant tapatumo nustatymo ir prieigos kontrolės skaitytuvus, be kita ko, biometrinius skaitytuvus
2. Atskiros ir įterptosios naršyklės
3. Slaptažodžių tvarkyklės
4. Programinė įranga, kuri ieško, šalina arba izoliuoja kenkimo programinę įrangą
5. Produktai su skaitmeniniais elementais, atliekantys virtualiojo privataus tinklo (VPN) funkciją
6. Tinklo valdymo sistemos
7. Saugumo informacijos ir įvykių valdymo (SIEM) sistemos
8. Sistemos paleidimo tvarkyklės
9. Viešojo rakto infrastruktūra ir skaitmeninių sertifikatų išdavimo programinė įranga
10. Fizinės ir virtualiosios tinklo sąsajos
12. Maršruto parinktuvai, modemai, skirti prisijungti prie interneto, ir jungikliai
13. Mikroprocesoriai, turintys su saugumu susijusių funkcijų
14. Mikrovaldikliai, turintys su saugumu susijusių funkcijų
15. Konkrečios paskirties integriniai grandynai (ASIC) ir programuojamosios loginės matricos (FPGA), turinčios su saugumu susijusių funkcijų
16. Išmanieji namų bendrosios paskirties virtualūs asistentai;
17. Išmanieji namų produktai, turintys su saugumu susijusių funkcijų, įskaitant išmaniąsias durų spynas, saugumo kameras, kūdikių stebėjimo sistemas ir signalizacijos sistemas
18. Prie interneto prijungti žaislai, kuriems taikoma Europos Parlamento ir Tarybos direktyva 2009/48/EB (
4
) ir kurie turi socialinių interaktyvių funkcijų (pavyzdžiui, kalbėjimo ar filmavimo) arba buvimo vietos sekimo funkcijų
19. Asmeniniai dėvimi gaminiai, kurie yra dėvimi arba tvirtinami ant žmogaus kūno ir kurie turi sveikatos stebėsenos (pavyzdžiui, sekimo) paskirtį bei kuriems netaikomas Reglamentas (ES) 2017/745 arba Reglamentas (ES) 2017/746, arba asmeniniai dėvimi gaminiai, kurie skirti naudoti vaikams
II klasė
1. Hipervizoriai ir sudėtinių rodinių vykdymo sistemos, padedantys virtualizuoti operacines sistemas ir panašias aplinkas
2. Užkardos, įsibrovimo aptikimo ir prevencijos sistemos
3. Klastojimui atsparūs mikroprocesoriai
4. Klastojimui atsparūs mikrovaldikliai
|
|
IV PRIEDAS YPATINGOS SVARBOS PRODUKTAI SU SKAITMENINIAIS ELEMENTAIS
|
IV PRIEDAS
YPATINGOS SVARBOS PRODUKTAI SU SKAITMENINIAIS ELEMENTAIS
1. Aparatinės įrangos prietaisai su seifais
2. Išmaniųjų skaitiklių tinklų sietuvai, naudojami pažangiosiose matavimo sistemose, kaip apibrėžta Europos Parlamento ir Tarybos direktyvos (ES) 2019/944 (
5
) 2 straipsnio 23 punkte, ir kiti pažangieji saugumo prietaisai, be kita ko, skirti saugiam kriptografiniam apdorojimui
3. Išmaniosios kortelės arba panašūs prietaisai, įskaitant saugiuosius elementus
|
|
V PRIEDAS ES ATITIKTIES DEKLARACIJA
|
V PRIEDAS
ES ATITIKTIES DEKLARACIJA
28 straipsnyje nurodytoje ES atitikties deklaracijoje pateikiama visa toliau nurodyta informacija:
1.
pavadinimas, tipas ir visa papildoma informacija, leidžianti vienareikšmiškai identifikuoti produktą su skaitmeniniais elementais;
2.
gamintojo arba jo įgaliotojo atstovo pavadinimas ir adresas;
3.
patvirtinimas, kad ES atitikties deklaracija išduota tik teikėjo atsakomybe;
4.
deklaracijos objektas (produkto su skaitmeniniais elementais identifikavimo informacija, pagal kurią jį būtų galima atsekti; kai tikslinga, galima pateikti nuotrauką);
5.
pareiškimas, kad pirmiau apibūdintas deklaracijos objektas atitinka atitinkamus Sąjungos derinamuosius teisės aktus;
6.
nuorodos į atitinkamą naudojamą darnųjį standartą arba kitą bendrąją specifikaciją arba kibernetinio saugumo sertifikavimą, kurių atžvilgiu deklaruota atitiktis;
7.
kai taikytina, notifikuotosios įstaigos pavadinimas ir numeris, atliktos atitikties vertinimo procedūros aprašymas ir išduoto sertifikato identifikavimo duomenys;
8.
papildoma informacija:
subjekto, kurio vardu pasirašoma, pavadinimas:
(išdavimo data ir vieta):
(vardas ir pavardė, pareigos) (parašas):
|
|
VI PRIEDAS SUPAPRASTINTA ES ATITIKTIES DEKLARACIJA
|
VI PRIEDAS
SUPAPRASTINTA ES ATITIKTIES DEKLARACIJA
Supaprastinta ES atitikties deklaracija, nurodyta 13 straipsnio 20 dalyje, formuluojama taip:
Aš, … [gamintojo pavadinimas], patvirtinu, kad produkto su skaitmeniniais elementais tipas … [produkto su skaitmeniniu elementu tipo pavadinimas] atitinka Reglamentą (ES) 2024/2847 (
6
). Visas ES atitikties deklaracijos tekstas prieinamas šiuo interneto adresu: …
|
|
VII PRIEDAS TECHNINIŲ DOKUMENTŲ TURINYS
|
VII PRIEDAS
TECHNINIŲ DOKUMENTŲ TURINYS
31 straipsnyje nurodytuose techniniuose dokumentuose pateikiama bent ši informacija, taikoma atitinkamam produktui su skaitmeniniais elementais:
1.
bendras produkto su skaitmeniniais elementais aprašymas, apimantis:
b)
programinės įrangos versiją, turinčią įtakos atitikčiai esminiams kibernetinio saugumo reikalavimams;
c)
jei produktas su skaitmeniniais elementais yra aparatinės įrangos produktas, nuotraukas ar iliustracijas, kuriose matosi išorinės savybės, ženklinimas ir vidinis išdėstymas;
d)
naudotojui skirtą informaciją ir instrukcijas, kaip nustatyta II priede;
2.
produkto su skaitmeniniais elementais projektavimo, kūrimo ir gamybos bei pažeidžiamumo valdymo procesų aprašymas, apimantis:
a)
būtiną informaciją apie produkto su skaitmeniniais elementais projektavimą ir kūrimą, įskaitant, kai taikytina, brėžinius ir schemas ir sistemos architektūros aprašymą, paaiškinantį, kaip programinės įrangos komponentai vienas kitą papildo arba sąveikauja ir integruojami į bendrą apdorojimą;
b)
būtiną informaciją apie gamintojo įdiegtus pažeidžiamumo valdymo procesus ir jų specifikacijas, įskaitant programinės įrangos medžiagų žiniaraštį, koordinuoto pažeidžiamumo atskleidimo politiką, kontaktinio adreso pateikimo pranešimams apie pažeidžiamumą įrodymą ir techninių sprendimų, pasirinktų saugiam naujinių paskirstymui, aprašymą;
c)
būtiną produkto su skaitmeniniais elementais gamybos ir stebėsenos procesų informaciją ir specifikacijas bei tų procesų patvirtinimą;
3.
kibernetinio saugumo rizikos, į kurią atsižvelgiant produktas su skaitmeniniais elementais yra suprojektuotas, sukurtas, pagamintas, pristatytas ir techniškai prižiūrimas, vertinimas pagal 13 straipsnį, įskaitant vertinimą, kaip taikomi I priedo I dalyje nustatyti esminiai kibernetinio saugumo reikalavimai;
4.
susijusi informacija, į kurią buvo atsižvelgta nustatant produkto su skaitmeniniais elementais palaikymo laikotarpį pagal 13 straipsnio 8 dalį;
5.
visiškai arba iš dalies taikomų darniųjų standartų, kurių nuorodos paskelbtos Europos Sąjungos oficialiajame leidinyje, bendrųjų specifikacijų, nurodytų šio reglamento 27 straipsnyje, arba pagal Reglamentą (ES) 2019/881 patvirtintų Europos kibernetinio saugumo sertifikavimo schemų sąrašas, kaip nustatyta šio reglamento 27 straipsnio 8 dalyje, ir, jei tie darnieji standartai, bendrosios specifikacijos ar Europos kibernetinio saugumo sertifikavimo schemos nebuvo taikomos, sprendinių, taikytų siekiant užtikrinti atitiktį I priedo I ir II dalyse nustatytiems esminiams kibernetinio saugumo reikalavimams, aprašymas, įskaitant taikytų kitų susijusių techninių specifikacijų sąrašą. Jei darnieji standartai, bendrosios specifikacijos ar Europos kibernetinio saugumo sertifikavimo schemos buvo taikomi iš dalies, techniniuose dokumentuose nurodomos dalys, kurios buvo taikomos;
6.
bandymų, atliktų siekiant patikrinti produkto su skaitmeniniais elementais ir pažeidžiamumo valdymo procesų atitiktį taikytiniems I priedo I ir II dalyse nustatytiems esminiams kibernetinio saugumo reikalavimams, ataskaitos;
7.
ES atitikties deklaracijos kopija;
8.
jei taikytina, programinės įrangos medžiagų žiniaraštis pagal pagrįstą rinkos priežiūros institucijos prašymą, jeigu tai yra būtina, kad ta institucija galėtų patikrinti, kaip laikomasi I priede nustatytų esminių kibernetinio saugumo reikalavimų.
|
|
VIII PRIEDAS ATITIKTIES VERTINIMO PROCEDŪROS
|
VIII PRIEDAS
ATITIKTIES VERTINIMO PROCEDŪROS
I dalis Atitikties vertinimo procedūra, pagrįsta vidaus kontrole (remiantis A moduliu)
1. Vidaus kontrolė yra atitikties vertinimo procedūra, pagal kurią gamintojas įvykdo šios dalies 2, 3 ir 4 punktuose nustatytas pareigas ir, prisiimdamas visą atsakomybę, užtikrina ir pareiškia, kad produktai su skaitmeniniais elementais atitinka visus I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus, o gamintojas atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.
2. Gamintojas parengia VII priede aprašytus techninius dokumentus.
3. Produktų su skaitmeniniais elementais projektavimas, kūrimas, gamyba ir pažeidžiamumo valdymas
Gamintojas imasi visų būtinų priemonių, kad projektavimo, kūrimo, gamybos ir pažeidžiamumo valdymo procesai bei jų stebėsena užtikrintų pagamintų ar sukurtų produktų su skaitmeniniais elementais bei gamintojo įdiegtų procesų atitiktį I priedo I ir II dalyse nustatytiems esminiams kibernetinio saugumo reikalavimams.
4. Atitikties ženklas ir atitikties deklaracija
4.1. Kiekvieną atskirą produktą su skaitmeniniais elementais, kuris atitinka taikytinus šiame reglamente nustatytus reikalavimus, gamintojas paženklina CE ženklu.
4.2. Gamintojas parengia rašytinę kiekvieno produkto su skaitmeniniais elementais ES atitikties deklaraciją pagal 28 straipsnį ir kartu su techniniais dokumentais saugo ją 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad nacionalinės institucijos galėtų su jais susipažinti. ES atitikties deklaracijoje identifikuojamas produktas su skaitmeniniais elementais, kuriam ji buvo parengta. ES atitikties deklaracijos kopija pateikiama atitinkamoms institucijoms jų prašymu.
4 punkte nustatytas gamintojo pareigas jo vardu ir jo atsakomybe gali vykdyti jo įgaliotasis atstovas, jei atitinkamos pareigos yra nurodytos įgaliojime.
II dalis ES tipo tyrimas (remiantis B moduliu)
1. ES tipo tyrimas yra dalis atitikties vertinimo procedūros, pagal kurią notifikuotoji įstaiga nagrinėja produkto su skaitmeniniais elementais techninį projektą ir kūrimą bei gamintojo įdiegtus pažeidžiamumo valdymo procesus ir patvirtina, kad produktas su skaitmeniniais elementais atitinka I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus, o gamintojas atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.
2. ES tipo tyrimas atliekamas kaip produkto su skaitmeniniais elementais techninio projekto ir kūrimo atitikties vertinimas atliekant techninių dokumentų ir 3 punkte nurodytų patvirtinamųjų duomenų tyrimą ir vienos ar daugiau svarbiausių produkto dalių pavyzdžių tyrimą (apimantį produkcijos tipą ir projekto tipą).
3. Gamintojas vienai jo pasirinktai notifikuotajai įstaigai pateikia ES tipo tyrimo paraišką.
Paraiškoje pateikiama:
3.1.
gamintojo pavadinimas ir adresas ir, jei paraišką pateikia jo įgaliotasis atstovas, to įgaliotojo atstovo pavadinimas ir adresas;
3.2.
rašytinis pareiškimas, kad tokia pati paraiška nėra pateikta jokiai kitai notifikuotajai įstaigai;
3.3.
techniniai dokumentai, kurie suteikia galimybę įvertinti produkto su skaitmeniniais elementais atitiktį taikytiniems I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams ir I priedo II dalyje nustatytus gamintojo pažeidžiamumo valdymo procesus ir kurie apima tinkamą rizikos analizę ir vertinimą. Techniniuose dokumentuose nurodomi taikytini reikalavimai, ir tie dokumentai, kiek reikia vertinimui, apima produkto su skaitmeniniais elementais projektavimą, gamybą ir veikimą. Kai taikytina, techniniuose dokumentuose pateikiami bent VII priede nurodyti elementai;
3.4.
duomenys, patvirtinantys techninio projekto ir kūrimo sprendimų bei pažeidžiamumo valdymo procesų tinkamumą. Pateikiant šiuos patvirtinamuosius duomenis nurodomi visi naudoti dokumentai, ypač jei atitinkami darnieji standartai arba techninės specifikacijos buvo taikyti nepilnai. Prireikus, į patvirtinamuosius duomenis įtraukiami atitinkamoje gamintojo laboratorijoje arba kitoje bandymų laboratorijoje jo vardu ir jo atsakomybe atliktų bandymų rezultatai.
4. Notifikuotoji įstaiga:
4.1.
išnagrinėja techninius dokumentus ir patvirtinamuosius duomenis, kad įvertintų produkto su skaitmeniniais elementais techninio projekto ir kūrimo atitiktį I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams ir gamintojo įdiegtų pažeidžiamumo valdymo procesų atitiktį I priedo II dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams;
4.2.
patikrina, ar pavyzdžiai sukurti arba pagaminti pagal techninius dokumentus, ir nustato, kurie elementai suprojektuoti ir sukurti pagal taikytinas atitinkamų darniųjų standartų arba techninių specifikacijų nuostatas ir kurie elementai suprojektuoti ir sukurti netaikant atitinkamų tų standartų nuostatų;
4.3.
jei dėl I priede nurodytų reikalavimų gamintojas pasirinko taikyti atitinkamuose darniuosiuose standartuose arba techninėse specifikacijose nustatytus sprendimus – atlieka reikiamus tyrimus ir bandymus arba paveda juos atlikti, kad patikrintų, jog tie sprendimai taikyti tinkamai;
4.4.
jei dėl I priede nurodytų reikalavimų susijusiuose darniuosiuose standartuose arba techninėse specifikacijose nustatyti sprendimai nebuvo taikomi – atlieka reikiamus tyrimus ir bandymus arba paveda juos atlikti, kad patikrintų, jog gamintojo pasirinkti sprendimai atitinka susijusius esminius kibernetinio saugumo reikalavimus;
4.5.
susitaria su gamintoju dėl vietos, kurioje bus atliekami tyrimai ir bandymai.
5. Notifikuotoji įstaiga parengia vertinimo ataskaitą, kurioje registruojami pagal 4 punktą atliekami veiksmai ir jų rezultatai. Nedarant poveikio jos pareigoms notifikuojančiųjų institucijų atžvilgiu, notifikuotoji įstaiga visą tos ataskaitos turinį arba jos dalį paskelbia tik gavusi gamintojo sutikimą.
6. Kai tipas ir pažeidžiamumo valdymo procesai atitinka I priede nustatytus esminius kibernetinio saugumo reikalavimus, notifikuotoji įstaiga išduoda gamintojui ES tipo tyrimo sertifikatą. Sertifikate nurodomas gamintojo pavadinimas ir adresas, tyrimo išvados, sertifikato galiojimo sąlygos (jei yra) ir duomenys, reikalingi patvirtintam tipui ir pažeidžiamumo valdymo procesams identifikuoti. Prie sertifikato gali būti pridedamas vienas arba daugiau priedų.
Sertifikate ir jo prieduose turi būti visa susijusi informacija, kuria remiantis būtų galima įvertinti pagamintų ar sukurtų produktų su skaitmeniniais elementais atitiktį ištirtam tipui ir pažeidžiamumo valdymo procesams bei atlikti naudojamų produktų kontrolę.
Kai tipas ir pažeidžiamumo valdymo procesai neatitinka taikytinų I priede nustatytų esminių kibernetinio saugumo reikalavimų, notifikuotoji įstaiga turi atsisakyti išduoti ES tipo tyrimo sertifikatą ir apie tai pranešti pareiškėjui, nurodydama išsamias atsisakymo priežastis.
7. Notifikuotoji įstaiga seka visuotinai pripažįstamas mokslo ir technikos naujoves, kurios rodo, kad patvirtintas tipas ir pažeidžiamumo valdymo procesai gali nebeatitikti taikytinų I priede nustatytų esminių kibernetinio saugumo reikalavimų, ir sprendžia, ar dėl tokių pokyčių būtina atlikti papildomus tyrimus. Jei taip, notifikuotoji įstaiga apie tai praneša gamintojui.
Gamintojas informuoja notifikuotąją įstaigą, kuri saugo su ES tipo tyrimo sertifikatu susijusius techninius dokumentus, apie visus patvirtinto tipo ir pažeidžiamumo valdymo procesų pakeitimus, kurie gali daryti poveikį atitikčiai I priede nustatytiems esminiams kibernetinio saugumo reikalavimams arba sertifikato galiojimo sąlygoms. Tokiems pakeitimams reikalingas papildomas patvirtinimas, išduodamas kaip pirminio ES tipo tyrimo sertifikato papildymas.
8. Notifikuotoji įstaiga atlieka periodinius auditus, siekdama užtikrinti, kad I priedo II dalyje nustatyti pažeidžiamumo valdymo procesai būtų įgyvendinami tinkamai.
9. Kiekviena notifikuotoji įstaiga praneša notifikuojančiosioms institucijoms apie savo išduotus arba panaikintus ES tipo tyrimo sertifikatus ir jų papildymus ir periodiškai arba gavusi prašymą pateikia joms sertifikatų ir jų papildymų, kuriuos išduoti ji atsisakė arba kurių galiojimą laikinai sustabdė ar kitaip apribojo, sąrašą.
Kiekviena notifikuotoji įstaiga informuoja kitas notifikuotąsias įstaigas apie ES tipo tyrimo sertifikatus ir jų papildymus, kuriuos ji atsisakė išduoti, panaikino, laikinai sustabdė ar kitaip apribojo jų galiojimą, o gavusi prašymą – ir apie išduotus sertifikatus ir jų papildymus.
Komisija, valstybės narės ir kitos notifikuotosios įstaigos gali, pateikusios prašymą, gauti ES tipo tyrimo sertifikatų ir visų jų papildymų kopijas. Komisija ir valstybės narės gali, pateikusios prašymą, gauti techninių dokumentų kopiją ir notifikuotosios įstaigos atliktų tyrimų rezultatus. Notifikuotoji įstaiga saugo ES tipo tyrimo sertifikato, jo priedų ir papildymų kopijas, taip pat techninę bylą su gamintojo pateiktais dokumentais iki sertifikato galiojimo pabaigos.
10. Gamintojas saugo ES tipo tyrimo sertifikato, jo priedų bei papildymų kopijas ir techninius dokumentus 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad nacionalinės institucijos galėtų su jais susipažinti.
11. Gamintojo įgaliotasis atstovas gali pateikti 3 punkte nurodytą paraišką ir vykdyti 7 ir 10 punktuose nustatytas pareigas, jei atitinkamos pareigos yra nurodytos įgaliojime.
III dalis Gamybos vidaus kontrole pagrįsta atitiktis tipui (remiantis C moduliu)
1. Gamybos vidaus kontrole pagrįsta tipo atitiktis – tai atitikties vertinimo procedūros dalis, kurios metu gamintojas įvykdo šios dalies 2 ir 3 punktuose nustatytas pareigas, taip pat užtikrina ir patvirtina, kad atitinkami produktai su skaitmeniniais elementais atitinka ES tipo tyrimo sertifikate aprašytą tipą bei I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus ir kad gamintojas atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.
Gamintojas imasi visų būtinų priemonių, kad vykdant gamybą ir jos stebėseną būtų užtikrinta pagamintų produktų su skaitmeniniais elementais atitiktis ES tipo tyrimo sertifikate aprašytam patvirtintam tipui bei I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams, taip pat užtikrinta gamintojo atitiktis I priedo II dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams.
3. Atitikties ženklas ir atitikties deklaracija
3.1.
Kiekvieną produktą su skaitmeniniais elementais, atitinkantį ES tipo tyrimo sertifikate aprašytą tipą ir šiame reglamente nustatytus taikytinus reikalavimus, gamintojas paženklina CE ženklu.
3.2.
Gamintojas parengia rašytinę produkto modelio atitikties deklaraciją ir saugo ją 10 metų nuo produkto su skaitmeniniais elementais pateikimo rinkai arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad nacionalinės institucijos galėtų su jais susipažinti. Atitikties deklaracijoje identifikuojamas produkto modelis, kuriam ji buvo parengta. Atitikties deklaracijos kopija pateikiama atitinkamoms institucijoms jų prašymu.
3 punkte nustatytas gamintojo pareigas jo vardu ir jo atsakomybe gali vykdyti jo įgaliotasis atstovas, jei atitinkamos pareigos yra nurodytos įgaliojime.
IV dalis Visišku kokybės užtikrinimu pagrįsta atitiktis (remiantis H moduliu)
1. Visišku kokybės užtikrinimu pagrįsta atitiktis yra atitikties vertinimo procedūra, pagal kurią gamintojas įvykdo šios dalies 2 ir 5 punktuose nustatytas pareigas ir, prisiimdamas visą atsakomybę, užtikrina ir pareiškia, kad atitinkami produktai su skaitmeniniais elementais arba produktų kategorijos atitinka I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus ir kad gamintojo įdiegti pažeidžiamumo valdymo procesai atitinka I priedo II dalyje nustatytus reikalavimus.
2. Produktų su skaitmeniniais elementais projektavimas, kūrimas, gamyba ir pažeidžiamumo valdymas
Gamintojas valdo 3 punkte nurodytą patvirtintą atitinkamų produktų su skaitmeniniais elementais projektavimo, kūrimo ir galutinio gaminio patikros bei bandymų kokybės sistemą bei pažeidžiamumo valdymo kokybės sistemą, palaiko jos veiksmingumą per visą palaikymo laikotarpį ir jam taikoma 4 punkte nustatyta priežiūra.
3.1.
Gamintojas jo pasirinktai notifikuotajai įstaigai pateikia paraišką įvertinti jo kokybės sistemą, kurią jis taiko atitinkamiems produktams su skaitmeniniais elementais.
Paraiškoje pateikiama:
a)
gamintojo pavadinimas ir adresas ir, jei paraišką pateikia jo įgaliotasis atstovas, to įgaliotojo atstovo pavadinimas ir adresas;
b)
techniniai dokumentai, parengti vienam kiekvienos numatytų gaminti ar kurti produktų su skaitmeniniais elementais kategorijos modeliui. Jei taikytina, techniniuose dokumentuose pateikiami bent VII priede nurodyti elementai;
c)
dokumentai dėl kokybės sistemos, ir
d)
rašytinis pareiškimas, kad tokia pati paraiška nėra pateikta jokiai kitai notifikuotajai įstaigai.
3.2.
Kokybės sistema turi užtikrinti produktų su skaitmeniniais elementais atitiktį I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams ir gamintojo įdiegtų pažeidžiamumo valdymo procesų atitiktį I priedo II dalyje nustatytiems reikalavimams.
Visi gamintojo priimti elementai, reikalavimai ir nuostatos sistemingai ir tvarkingai dokumentuojami – rengiamos rašytinės strategijos, procedūros ir instrukcijos. Kokybės sistemos dokumentai parengiami taip, kad jais remiantis būtų galima vienodai aiškinti kokybės programas, planus, vadovus ir įrašus.
Visų pirma, juose tinkamai aprašoma:
a)
kokybės valdymo tikslai ir organizacinė struktūra, vadovybės pareigos ir įgaliojimai, susiję su projektavimu, kūrimu, produkto kokybe ir pažeidžiamumo valdymu;
b)
techninio projekto ir kūrimo specifikacijos, įskaitant standartus, kurie bus taikomi, ir, jeigu atitinkami darnieji standartai arba techninės specifikacijos bus taikomi tik iš dalies, priemonės, kuriomis bus siekiama užtikrinti I priedo I dalyje nustatytų produktams su skaitmeniniais elementais taikomų esminių kibernetinio saugumo reikalavimų vykdymą;
c)
procedūrų specifikacijos, įskaitant standartus, kurie bus taikomi, ir, jeigu atitinkami darnieji standartai arba techninės specifikacijos bus taikomi tik iš dalies, priemonės, kuriomis bus siekiama užtikrinti I priedo II dalyje nustatytų gamintojui taikomų esminių kibernetinio saugumo reikalavimų vykdymą;
d)
projekto ir kūrimo kontrolės bei projekto ir kūrimo patikros būdai, procesai ir sistemingi veiksmai, kurie bus taikomi projektuojant ir kuriant nagrinėjamai gaminių kategorijai priklausančius produktus su skaitmeniniais elementais;
e)
atitinkami gamybos, kokybės kontrolės ir kokybės užtikrinimo metodai, procesai ir sistemingi veiksmai, kurie bus taikomi;
f)
tyrimai ir bandymai, kurie bus atliekami prieš gamybą, gamybos metu ir po jos, ir jų atlikimo dažnumas;
g)
kokybės įrašai, kaip antai patikrinimų ataskaitos, bandymų ir kalibravimo duomenys bei atitinkamo personalo kvalifikacijos ataskaitos;
h)
priemonės, skirtos stebėti, ar užtikrinama reikiama projekto ir produktų kokybė ir ar efektyviai veikia kokybės sistema.
3.3.
Notifikuotoji įstaiga vertina kokybės sistemą ir nustato, ar ji atitinka 3.2 punkte nurodytus reikalavimus.
Ji preziumuoja, kad tuos reikalavimus atitinka tie kokybės sistemos elementai, kurie atitinka susijusį darnųjį standartą arba techninę specifikaciją įgyvendinančio nacionalinio standarto atitinkamas specifikacijas.
Be kokybės valdymo sistemų srities patirties, audito grupėje turi būti bent vienas narys, turintis atitinkamų produktų vertinimo patirties ir išmanantis atitinkamo produkto technologiją, ir audito grupė privalo žinoti taikytinus šiame reglamente nustatytus reikalavimus. Audito procedūros dalis yra vertinimas lankantis gamintojo patalpose, jei jis turi patalpas. Audito grupė peržiūri 3.1 punkto b papunktyje nustatytus techninius dokumentus, kad patikrintų gamintojo gebėjimą identifikuoti taikytinus šiame reglamente nustatytus reikalavimus ir atlikti reikiamus tyrimus, kad užtikrintų produkto su skaitmeniniais elementais atitiktį tiems reikalavimams.
Apie sprendimą pranešama gamintojui arba jo įgaliotajam atstovui.
Pranešime pateikiamos audito išvados ir pagrįstas įvertinimo sprendimas.
3.4.
Gamintojas įsipareigoja vykdyti su patvirtinta kokybės sistema susijusias pareigas ir užtikrinti, kad sistema toliau veiktų tinkamai ir veiksmingai.
3.5.
Gamintojas informuoja kokybės sistemą patvirtinusią notifikuotąją įstaigą apie visus numatomus kokybės sistemos pakeitimus.
Notifikuotoji įstaiga įvertina siūlomus pakeitimus ir nusprendžia, ar pakeista kokybės sistema toliau atitinka 3.2 punkte nurodytus reikalavimus, ar reikia ją iš naujo įvertinti.
Apie savo sprendimą ji praneša gamintojui. Pranešime pateikiamos nagrinėjimo išvados ir pagrįstas sprendimas dėl įvertinimo.
4. Notifikuotosios įstaigos atsakomybe atliekama priežiūra
4.1.
Priežiūros tikslas – įsitikinti, ar gamintojas deramai vykdo pareigas, susijusias su patvirtinta kokybės sistema.
4.2.
Gamintojas leidžia notifikuotajai įstaigai vertinimo tikslais patekti į projektavimo, kūrimo, gamybos, tikrinimo, bandymų bei sandėliavimo vietas, taip pat suteikia jai visą būtiną informaciją, visų pirma:
a)
kokybės sistemos dokumentus;
b)
projektui skirtoje kokybės sistemos dalyje numatytus kokybės įrašus, pavyzdžiui, analizių, skaičiavimų ir bandymų rezultatus;
c)
gamybai skirtoje kokybės sistemos dalyje numatytus kokybės įrašus, pavyzdžiui, tikrinimų ataskaitas ir bandymų duomenis, kalibravimo duomenis ir susijusio personalo kvalifikacijos ataskaitas.
4.3.
Notifikuotoji įstaiga atlieka periodinius auditus, kad galėtų įsitikinti, ar gamintojas techniškai prižiūri ir taiko kokybės sistemą, ir pateikia audito ataskaitą gamintojui.
5. Atitikties ženklas ir atitikties deklaracija
5.1.
Kiekvieną atskirą produktą su skaitmeniniais elementais, kuris atitinka I priedo I dalyje nustatytus reikalavimus, gamintojas paženklina CE ženklu ir, 3.1 punkte nurodytos notifikuotosios įstaigos atsakomybe, šios įstaigos identifikaciniu numeriu.
5.2.
Gamintojas parengia rašytinę kiekvieno produkto modelio atitikties deklaraciją ir saugo ją 10 metų nuo produkto su skaitmeniniais elementais pateikimo rinkai arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad ją būtų galima pateikti nacionalinėms institucijoms. Atitikties deklaracijoje identifikuojamas produkto modelis, kuriam ji buvo parengta.
Atitikties deklaracijos kopija pateikiama atitinkamoms institucijoms jų prašymu.
6. Gamintojas ne trumpiau kaip 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, saugo toliau nurodytus dokumentus, kad nacionalinės institucijos galėtų su jais susipažinti:
a)
3.1 punkte nurodytus techninius dokumentus;
b)
dokumentus, susijusius su 3.1 punkte nurodyta kokybės sistema;
c)
informaciją apie 3.5 punkte nurodytus patvirtintus pakeitimus;
d)
notifikuotosios įstaigos sprendimus ir ataskaitas, nurodytas 3.5 ir 4.3 punktuose.
7. Kiekviena notifikuotoji įstaiga savo notifikuojančiąsias institucijas informuoja apie išduotus arba panaikintus kokybės sistemos patvirtinimus ir periodiškai arba gavusi prašymą notifikuojančiosioms institucijoms pateikia kokybės sistemos patvirtinimų, kuriuos išduoti ji atsisakė arba kurių galiojimą laikinai sustabdė ar kitaip apribojo, sąrašą.
Kiekviena notifikuotoji įstaiga kitas notifikuotąsias įstaigas informuoja apie kokybės sistemų patvirtinimus, kuriuos ji atsisakė išduoti, panaikino arba kurių galiojimą laikinai sustabdė, o gavusi prašymą – ir apie išduotus kokybės sistemų patvirtinimus.
3.1, 3.5, 5 ir 6 punktuose nustatytas gamintojo pareigas jo vardu ir jo atsakomybe gali vykdyti jo įgaliotasis atstovas, jei atitinkamos pareigos nurodytos įgaliojime.
Dėl šio akto buvo padarytas pareiškimas; jį galima rasti OL C, 2024/6786, 2024 11 20, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Nuorodos
1.2 Nustatyti reikalavimai
1.3 Susiję standartai
2. Nustatyti reikalavimai
Reikalavimai
| Šaltinis |
Reikalavimas |
3. Susiję standartai
Standartai
| Šaltinis |
Reikalavimas |
Susietos užduotys
|