I PEATÜKK ÜLDSÄTTED

õigusnormid, mis reguleerivad digielemente sisaldavate toodete turul kättesaadavaks tegemist, et tagada selliste toodete küberturvalisus;

digielemente sisaldavate toodete projekteerimise, arendamise ja tootmise olulised küberturvalisuse nõuded ning kohustused, mida ettevõtjad peavad selliste toodete puhul seoses küberturvalisusega täitma;

selliste protsesside olulised küberturvalisuse nõuded, mille tootjad on kehtestanud nõrkuste käsitlemiseks, et tagada digielemente sisaldavate toodete küberturvalisus toodete kogu eeldatava kasutamise ajal, ning ettevõtjate kohustused seoses nende protsessidega;

õigusnormid turujärelevalve, sealhulgas seire ning käesolevas artiklis osutatud õigusnormide ja nõuete täitmise tagamise kohta.

„digielemente sisaldav toode“ – tarkvara- või riistvaratoode ja selle andmete kaugtöötluslahendused, kaasa arvatud tarkvara- ja riistvarakomponendid, mis lastakse turule eraldi;

„andmete kaugtöötlus“ – andmetöötlus, mis toimub distantsilt ja mille jaoks tootja on projekteerinud ja välja töötanud tarkvara või mille jaoks on selline tarkvara projekteeritud ja välja töötatud tootja vastutusel ning mille puudumine ei laseks digielemente sisaldaval tootel täita üht oma funktsiooni;

„küberturvalisus“ – määruse (EL) 2019/881 artikli 2 punktis 1 määratletud küberturvalisus;

„tarkvara“ – elektroonilise infosüsteemi osa, mis koosneb arvutikoodist;

„riistvara“ – füüsiline elektrooniline infosüsteem või selle osa, mis suudab digitaalandmeid töödelda, talletada või edastada;

„komponent“ – tarkvara või riistvara, mis on ette nähtud integreerimiseks elektroonilisse infosüsteemi;

„elektrooniline infosüsteem“ – süsteem, sealhulgas elektri- või elektroonikaseade, mis suudab töödelda, talletada või edastada digitaalandmeid;

„loogiline ühendus“ – tarkvaraliidese kaudu teostatav andmesideühenduse virtuaalesitus;

„füüsiline ühendus“ – elektrooniliste infosüsteemide või komponentidevaheline ühendus, mis realiseeritakse füüsiliste vahenditega, muu hulgas elektrilise, optilise või mehaanilise liidese, traadi või raadiolainete kaudu;

„kaudne ühendus“ – selline ühendus seadme või võrguga, mis ei toimu otse, vaid sellise seadme või võrguga otse ühendatava suurema süsteemi raames;

„lõppseade“ – seade, mis on võrku ühendatud ja toimib selle võrgu sisendpunktina;

„ettevõtja“ – tootja, volitatud esindaja, importija, turustaja või muu füüsiline või juriidiline isik, kes peab kooskõlas käesoleva määrusega täitma kohustusi, mis on seotud digielemente sisaldava toote tootmisega või digielemente sisaldava toote turul kättesaadavaks tegemisega;

„tootja“ – füüsiline või juriidiline isik, kes arendab või toodab digielemente sisaldavat toodet või kes laseb digielemente sisaldavat toodet projekteerida, arendada või toota ja turustab seda tasu eest, tulu teenimise eesmärgil või tasuta oma nime või kaubamärgi all;

„avatud lähtekoodiga tarkvara korraldaja“ – juriidiline isik, kes ei ole tootja ja kelle eesmärk on süstemaatiliselt ja püsivalt toetada selliste teatavate digielemente sisaldavate toodete arendamist, mis kvalifitseeruvad vabaks ja avatud lähtekoodiga tarkvaraks ning on ette nähtud kaubandustegevuseks, ning kes tagab nende toodete elujõulisuse;

„volitatud esindaja“ – liidus asuv füüsiline või juriidiline isik, kes on saanud tootjalt kirjaliku volituse tegutseda tema nimel seoses kindlaksmääratud ülesannetega;

„importija“ – liidus asuv füüsiline või juriidiline isik, kes laseb turule väljaspool liitu asuva füüsilise või juriidilise isiku nime või kaubamärki kandva digielemente sisaldava toote;

„turustaja“ – tarneahelas osalev füüsiline või juriidiline isik, kes ei ole tootja ega importija ja kes teeb digielemente sisaldava toote liidu turul kättesaadavaks ilma toote omadusi mõjutamata;

„tarbija“ – füüsiline isik, kes tegutseb eesmärgil, mis ei ole seotud tema kaubandus-, majandus-, ametialase või kutsetegevusega;

„mikro-, väikesed ja keskmise suurusega ettevõtjad“ – soovituse 2003/361/EÜ lisas määratletud mikro-, väikesed ja keskmise suurusega ettevõtjad;

„toe kestus“ – ajavahemik, mille ajal tootja peab tagama digielemente sisaldava toote nõrkuste tulemusliku käsitlemise kooskõlas I lisa II osas sätestatud oluliste küberturvalisuse nõuetega;

„turule laskmine“ – digielemente sisaldava toote esmakordne liidu turul kättesaadavaks tegemine;

„turul kättesaadavaks tegemine“ – kaubandustegevuse käigus digielemente sisaldava toote tasu eest või tasuta tarnimine liidu turule kas turustamiseks või kasutamiseks;

„sihtotstarve“ – kasutamine, kaasa arvatud kasutamise konkreetne kontekst ja tingimused, mille jaoks tootja on digielemente sisaldava toote kasutusjuhendis, reklaam- või müügimaterjalides või avaldustes ning tehnilises dokumentatsioonis esitatud teabe kohaselt ette näinud;

„mõistlikult prognoositav kasutamine“ – kasutamine, mis ei toimu ilmtingimata tootja poolt kasutusjuhendis, reklaam- või müügimaterjalides või avaldustes ning tehnilises dokumentatsioonis ette nähtud sihtotstarbel, kuid mis võib tõenäoliselt tuleneda mõistlikult prognoositavast inimkäitumisest või tehnilisest toimingust või interaktsioonist;

„mõistlikult prognoositav väärkasutamine“ – digielemente sisaldava toote kasutamine viisil, mis ei ole kooskõlas selle sihtotstarbega, kuid mis võib tuleneda mõistlikult prognoositavast inimkäitumisest või interaktsioonist muude süsteemidega;

„teavitav asutus“ – riigi ametiasutus, kes vastutab vastavushindamisasutuste hindamise, määramise ja neist teada andmise ning nende järelevalve jaoks vajalike menetluste väljatöötamise ja läbiviimise eest;

„vastavushindamine“ – protsess, mille käigus kontrollitakse, kas I lisas sätestatud olulised küberturvalisuse nõuded on täidetud;

„vastavushindamisasutus“ – määruse (EÜ) nr 765/2008 artikli 2 punktis 13 määratletud vastavushindamisasutus;

„teada antud asutus“ – artikli 43 ja liidu asjakohaste ühtlustamisõigusaktide kohaselt määratud vastavushindamisasutus;

„oluline muudatus“ – digielemente sisaldavas tootes pärast selle turule laskmist tehtud muudatus, mis mõjutab digielemente sisaldava toote vastavust I lisa I osas sätestatud olulistele nõuetele või mille tõttu muutub sihtotstarve, mida silmas pidades on digielemente sisaldavat toodet hinnatud;

„CE-vastavusmärgis“ – märgis, millega tootja annab teada, et digielemente sisaldav toode ja tootja rakendatud protsessid vastavad I lisas ja kohaldatavates liidu ühtlustamisõigusaktides sätestatud märgise paigaldamist käsitlevatele olulistele küberturvalisuse nõuetele;

„liidu ühtlustamisõigusaktid“ – määruse (EL) 2019/1020 I lisas loetletud liidu õigusaktid ja muud liidu õigusaktid, millega ühtlustatakse nende toodete turustamise tingimusi, mille suhtes nimetatud määrust kohaldatakse;

„turujärelevalveasutus“ – määruse (EL) 2019/1020 artikli 3 punktis 4 määratletud turujärelevalveasutus;

„rahvusvaheline standard“ – määruse (EL) nr 1025/2012 artikli 2 punkti 1 alapunktis a määratletud rahvusvaheline standard;

„Euroopa standard“ – määruse (EL) nr 1025/2012 artikli 2 punkti 1 alapunktis b määratletud Euroopa standard;

„harmoneeritud standard“ – määruse (EL) nr 1025/2012 artikli 2 punkti 1 alapunktis c määratletud harmoneeritud standard;

„küberrisk“ – intsidendist tingitud kahju või häire võimalus, mida väljendatakse sellise kahju või häire ulatust ja intsidendi esinemise tõenäosust kajastava kombineeritud näitajana;

„oluline küberrisk“ – küberrisk, mille tehniliste omaduste põhjal võib eeldada suurt tõenäosust sellise intsidendi tekkeks, mis võib põhjustada tõsist negatiivset mõju, muu hulgas olulist varalist või mittevaralist kahju või häiret;

„tarkvara koostenimekiri“ – ametlik kirje, milles esitatakse digielemente sisaldava toote tarkvaraelementides sisalduvate komponentide üksikasjad ja tarneahela seosed;

„nõrkus“ – digielemente sisaldava toote nõrkus, tundlikkus või viga, mida küberohu tekitaja võib ära kasutada;

„ärakasutatav nõrkus“ – nõrkus, mida vastaspool võib praktilistes käitamistingimustes tulemuslikult ära kasutada;

„aktiivselt ärakasutatav nõrkus“ – nõrkus, mille kohta on usaldusväärseid tõendeid, et kuritahtlik isik on seda süsteemi omaniku loata süsteemis ära kasutanud;

„intsident“ – direktiivi (EL) 2022/2555 artikli 6 punktis 6 määratletud intsident;

„digielemente sisaldava toote turvalisust mõjutav intsident“ – intsident, mis mõjutab või võib mõjutada negatiivselt digielemente sisaldava toote võimet kaitsta andmete või funktsioonide kättesaadavust, autentsust, terviklust või konfidentsiaalsust;

„napilt ära hoitud intsident“ – direktiivi (EL) 2022/2555 artikli 6 punktis 5 määratletud napilt ära hoitud intsident;

„küberoht“ – määruse (EL) 2019/881 artikli 2 punktis 8 määratletud küberoht;

„isikuandmed“ – määruse (EL) 2016/679 artikli 4 punktis 1 määratletud isikuandmed;

„vaba ja avatud lähtekoodiga tarkvara“ – tarkvara, mille lähtekoodi jagatakse avalikult ja mis tehakse kättesaadavaks vaba ja avatud lähtekoodi litsentsi alusel, mis annab kõik õigused teha see vabalt kättesaadavaks, kasutatavaks, muudetavaks ja turustatavaks;

„tagasivõtmine“ – määruse (EL) 2019/1020 artikli 3 punktis 22 määratletud tagasivõtmine;

„turult kõrvaldamine“ – määruse (EL) 2019/1020 artikli 3 punktis 23 määratletud turult kõrvaldamine;

„koordinaatoriks määratud CSIRT“ – direktiivi (EL) 2022/2555 artikli 12 lõike 1 kohaselt koordinaatoriks määratud CSIRT.

need vastavad I lisa I osas sätestatud olulistele küberturvalisuse nõuetele, tingimusel et nad on nõuetekohaselt paigaldatud ja hooldatud, neid kasutatakse sihtotstarbeliselt või tingimustes, mida võib mõistlikult prognoosida, ja neile on paigaldatud vajalikud turvauuendused, kui see on kohaldatav, ning

tootja rakendatud protsessid vastavad I lisa II osas sätestatud olulistele küberturvalisuse nõuetele.

arendada küberturvalisuse alaseid oskusi ning luua korralduslikud ja tehnoloogilised vahendid, et tagada kvalifitseeritud spetsialistide piisav kättesaadavus turujärelevalveasutuste ja vastavushindamisasutuste tegevuse toetamiseks;

suurendada koostööd erasektori, ettevõtjate (sealhulgas tootjate töötajate ümber- või täiendusõppe kaudu), tarbijate, koolitajate ning haldusasutuste vahel, suurendades seeläbi noorte võimalusi asuda tööle küberturvalisuse sektoris.