EIROPAS PARLAMENTA UN PADOMES REGULA (ES) 2024/2847 (2024. gada 23. oktobris) par horizontālajām kiberdrošības prasībām attiecībā uz produktiem ar digitāliem elementiem un ar ko groza Regulas (ES) Nr. 168/2013 un (ES) 2019/1020 un Direktīvu (ES) 2020/1828 (Kibernoturības akts) (Dokuments attiecas uz EEZ)

tiek darīti pieejami tirgū bez zināmām izmantojamām ievainojamībām;

tiek darīti pieejami tirgū ar drošu pēc noklusējuma konfigurāciju, ja vien attiecībā uz individuāli pielāgotu produktu ar digitāliem elementiem ražotājs un komerciālais lietotājs nav vienojušies citādi, ieskaitot iespēju atiestatīt produktu tā sākotnējā stāvoklī;

nodrošina, ka ievainojamības var novērst ar drošības atjauninājumiem, tostarp attiecīgā gadījumā izmantot atbilstīgā termiņā iestatītus un pēc noklusējuma iespējotus automātiskus drošības atjauninājumus ar viegli lietojamu atteikšanās mehānismu, un lietotājiem sniedz paziņojumus par pieejamajiem atjauninājumiem, ko uz laiku var atlikt;

nodrošina aizsardzību pret nesankcionētu piekļuvi, izmantojot atbilstošus kontroles mehānismus, tajā skaitā, bet ne tikai, autentifikācijas, identitātes vai piekļuves pārvaldības sistēmas, un ziņo par iespējamu nesankcionētu piekļuvi;

aizsargā uzglabāto, pārsūtīto vai citādi apstrādāto personas vai citu datu konfidencialitāti, piemēram, šifrējot attiecīgos datus miera stāvoklī vai tranzītā, izmantojot mūsdienīgus mehānismus un citus tehniskos līdzekļus;

aizsargā uzkrāto, pārsūtīto vai citādi apstrādāto personas vai citu datu, komandu, programmu un konfigurācijas integritāti pret jebkādām manipulācijām vai modifikācijām, kuras nav atļāvis lietotājs, un ziņo par bojājumiem;

apstrādā tikai tādus personas vai citus datus, kas ir atbilstīgi, būtiski un ierobežoti līdz tam, kas nepieciešams produkta ar digitāliem elementiem paredzētajam nolūkam (“datu minimizēšana”);

aizsargā būtisku un pamata funkciju pieejamību, tostarp pēc incidenta, arī izmantojot pasākumus, ar ko nodrošina noturību pret pakalpojuma atteikuma uzbrukumiem un mazina to ietekmi;

samazina pašu produktu vai savienoto ierīču negatīvo ietekmi uz citu ierīču vai tīklu sniegto pakalpojumu pieejamību;

ir projektēti, izstrādāti un ražoti tā, lai ierobežotu uzbrukuma laukumus, ieskaitot ārējās saskarnes;

ir projektēti, izstrādāti un ražoti tā, lai samazinātu incidenta ietekmi, izmantojot atbilstošus izmantošanas ietekmes mazināšanas mehānismus un paņēmienus;

nodrošina ar drošību saistītu informāciju, reģistrējot un uzraugot attiecīgo iekšējo darbību, tostarp piekļuvi datiem, pakalpojumiem vai funkcijām vai to modificēšanu, un nodrošina lietotājam viegli lietojamu atteikšanās mehānismu;

nodrošina lietotājiem iespēju droši un viegli dzēst visus datus un iestatījumus un, ja šādus datus var pārsūtīt uz citiem produktiem vai sistēmām, nodrošina, ka to var izdarīt drošā veidā.

identificē un dokumentē produkta ar digitāliem elementiem ievainojamības un komponentus, arī sastādot programmatūras materiālu komplektu plaši izmantotā un mašīnlasāmā formātā, kas aptver vismaz produkta augstākā līmeņa atkarības;

saistībā ar riskiem, kam pakļauti produkti ar digitāliem elementiem, nekavējoties pievēršas ievainojamībām un tās novērš, arī nodrošinot drošības atjauninājumus; ja vien tehniski iespējams, jaunus drošības atjauninājumus nodrošina atsevišķi no funkcionalitātes atjauninājumiem;

veic efektīvas un regulāras produkta ar digitāliem elementiem drošības pārbaudes un pārskatus;

kad drošības atjauninājums ir darīts pieejams, publiski atklāj un apmainās ar informāciju par novērstajām ievainojamībām, ieskaitot ievainojamību aprakstu, informāciju, kas lietotājiem ļauj identificēt produktu ar ietekmētajiem digitāliem elementiem, ievainojamību ietekmi, to nopietnību, un skaidru un pieejamu informāciju, kas palīdz lietotājiem novērst ievainojamības; pienācīgi pamatotos gadījumos, ja ražotāji uzskata, ka publicēšanas radītie drošības riski pārsniedz drošības ieguvumus, ražotāji var atlikt informācijas par novērstās ievainojamības publiskošanu līdz brīdim, kad lietotājiem ir dota iespēja piemērot attiecīgo ielāpu;

ievieš un īsteno politiku par koordinētu informācijas par ievainojamībām izpaušanu;

veic pasākumus, lai veicinātu informācijas apmaiņu par iespējamām sava produkta ar digitāliem elementiem ievainojamībām, kā arī trešo personu komponentiem, kas iekļauti attiecīgajā produktā, arī norādot kontaktadresi ziņošanai par ievainojamībām, kas atklātas produktā ar digitāliem elementiem;

nodrošina mehānismus, ar ko droši izplatīt produktu ar digitāliem elementiem atjauninājumus, lai nodrošinātu, ka ievainojamības tiek savlaicīgi novērstas vai mazinātas, un attiecīgā gadījumā nodrošina automātiskus drošības atjauninājumus;

nodrošina, ka gadījumos, kad ir pieejami drošības atjauninājumi, tie tiek nekavējoties un, ja vien saistībā ar attiecīgo individuāli pielāgoto produktu ar digitāliem elementiem ražotājs un komerciālais lietotājs nav vienojušies citādi, bez maksas izplatīti kopā ar ieteikuma ziņojumiem, kuros lietotājiem sniegta atbilstoša informācija, ieskaitot informāciju par iespējamām veicamām darbībām.

ražotāja nosaukums, reģistrētais tirdzniecības nosaukums vai reģistrētā preču zīme, e-pasta adrese vai cita digitāla kontaktinformācija, kā arī attiecīgā gadījumā tīmekļa vietne, kurā sazināties ar ražotāju;

vienotais kontaktpunkts, kur var ziņot par produkta ar digitāliem elementiem kiberdrošības ievainojamībām, un vietne, kur atrast ražotāja politiku par koordinētu informācijas par ievainojamībām izpaušanu;

nosaukums, tips un jebkāda papildu informācija, kas ļauj unikāli identificēt produktu ar digitāliem elementiem;

paredzētais produkta ar digitāliem elementiem nolūks, tai skaitā ražotāja nodrošinātā drošības vide, kā arī produkta ar digitāliem elementiem būtiskā funkcionalitāte un informācija par drošības īpašībām;

visi zināmie vai paredzamie apstākļi, kas saistīti ar produkta ar digitāliem elementiem izmantošanu atbilstoši tā paredzētajam nolūkam vai citos pamatoti paredzama nepareiza lietojuma apstākļos, kas var radīt būtiskus kiberdrošības riskus;

attiecīgā gadījumā interneta adrese, kurā var piekļūt ES atbilstības deklarācijai;

ražotāja piedāvātā drošības tehniskā atbalsta veids, norādot atbalsta perioda galīgo termiņu, līdz kuram lietotāji var sagaidīt, ka ievainojamības tiks novērstas un tiks saņemti drošības atjauninājumi;

sīki izklāstīti norādījumi vai interneta adrese, kurā sniegta atsauce uz šādiem sīki izklāstītiem norādījumiem un informācija par:

Ja ražotājs nolemj lietotājam darīt pieejamu programmatūras materiālu sarakstu, sniedz informāciju par to, kur var piekļūt programmatūras materiālu sarakstam.

Nosaukums un tips, kā arī jebkāda papildu informācija, kas ļauj unikāli identificēt produktu ar digitāliem elementiem

Ražotāja vai tā pilnvarotā pārstāvja vārds vai nosaukums un adrese

Paziņojums par to, ka šo atbilstības deklarāciju izdod tikai un vienīgi uz ražotāja atbildību

Deklarācijas priekšmets (produkta ar digitāliem elementiem identifikācija, kas nodrošina tā izsekojamību. Attiecīgā gadījumā var būt iekļauta fotogrāfija)

Paziņojums, ka iepriekš aprakstītais deklarācijas priekšmets atbilst attiecīgajam Savienības saskaņošanas tiesību aktam

Norādes uz attiecīgajiem piemērojamajiem saskaņotajiem standartiem, citām kopējām specifikācijām vai kiberdrošības sertifikāciju, attiecībā uz ko tiek deklarēta atbilstība

Attiecīgā gadījumā paziņotās struktūras nosaukums un numurs, veiktās atbilstības novērtēšanas procedūras apraksts un izdotā sertifikāta identifikācija

Papildu informācija:

Parakstīts šādas personas vārdā:

(izdošanas vieta un datums):

(vārds, uzvārds, amats) (paraksts):

vispārīgu produkta ar digitāliem elementiem aprakstu, ieskaitot:

produkta ar digitāliem elementiem projektēšanas, izstrādes un ražošanas, kā arī ievainojamību novēršanas procesu aprakstu, ieskaitot:

novērtējumu par kiberdrošības riskiem, pret kuriem produkts ar digitāliem elementiem ir projektēts, izstrādāts, ražots, piegādāts un uzturēts, ievērojot 13. pantu, tostarp par to, kā ir piemērojamas I pielikuma I daļā izklāstītās kiberdrošības pamatprasības;

attiecīgā informācija, kas ņemta vērā, lai produktam ar digitāliem elementiem noteiktu atbalsta periodu, ievērojot 13. panta 8. punktu;

to pilnībā vai daļēji piemēroto saskaņoto standartu sarakstu, uz kuriem ir publicētas atsauces Eiropas Savienības Oficiālajā Vēstnesī, kopējās specifikācijas, kas paredzētas šīs regulas 27. pantā vai Eiropas kiberdrošības sertifikācijas shēmās, kuras pieņemtas, ievērojot Regulu (ES) 2019/881 un atbilstīgi šīs regulas 27. panta 8. punktam, un, ja minētie saskaņotie standarti, kopējās specifikācijas vai Eiropas kiberdrošības sertifikācijas shēmas nav piemērotas, to risinājumu aprakstus, kas pieņemti, lai atbilstu I pielikuma I un II daļā izklāstītajām kiberdrošības pamatprasībām, ietverot citu attiecīgo piemēroto tehnisko specifikāciju sarakstu. Ja saskaņotie standarti, kopējās specifikācijas vai Eiropas kiberdrošības sertifikācijas shēmas ir piemērotas daļēji, tehniskajā dokumentācijā norāda piemērotās daļas;

ziņojumus par testiem, kas veikti, lai pārbaudītu produkta ar digitāliem elementiem atbilstību un ievainojamību novēršanas procesu atbilstību piemērojamajām kiberdrošības pamatprasībām, kā noteikts I pielikuma I un II daļā;

ES atbilstības deklarācijas kopiju;

attiecīgā gadījumā programmatūras materiālu sarakstu pēc tirgus uzraudzības iestādes pamatota pieprasījuma, ja tas ir nepieciešams, lai minētā iestāde varētu pārbaudīt atbilstību I pielikumā noteiktajām kiberdrošības pamatprasībām.

ražotāja nosaukumu un adresi, kā arī, ja pieteikumu iesniedz ražotāja pilnvarotais pārstāvis, – minētā pilnvarotā pārstāvja vārdu vai nosaukumu un adresi;

rakstisku paziņojumu, ka šāds pieteikums nav iesniegts nevienā citā paziņotajā struktūrā;

tehnisko dokumentāciju, kura ļauj novērtēt produkta ar digitāliem elementiem atbilstību piemērojamajām I pielikuma I daļā noteiktajām kiberdrošības pamatprasībām un I pielikuma II daļā noteiktajiem ražotāja ievainojamību novēršanas procesiem, un ietver atbilstošu analīzi un risku novērtējumu. Tehniskajā dokumentācijā norāda piemērojamās prasības, un, ciktāl tas nepieciešams novērtēšanai, tā aptver produkta ar digitāliem elementiem projektēšanu, ražošanu un darbību. Tehniskajā dokumentācijā attiecīgā gadījumā iekļauj vismaz VII pielikumā izklāstītos elementus;

pierādījumus, kas apstiprina tehniskā projekta, izstrādes risinājumu un ievainojamību novēršanas procesu atbilstību. Šajos pierādījumos norāda visus izmantotos dokumentus, jo īpaši tad, ja attiecīgie harmonizētie standarti vai tehniskās specifikācijas netiek piemēroti pilnībā. Pierādījumos vajadzības gadījumā iekļauj to testu rezultātus, kurus ražotāja vārdā un uz ražotāja atbildību veikusi ražotāja atbilstīgā laboratorija vai cita testēšanas laboratorija.

pārbauda tehnisko dokumentāciju un apstiprinošos pierādījumus, lai novērtētu produkta ar digitāliem elementiem tehniskā projekta un izstrādes atbilstību I pielikuma I daļā noteiktajām kiberdrošības pamatprasībām un ražotāja ieviesto ievainojamību novēršanas procesu atbilstību I pielikuma II daļā noteiktajām kiberdrošības pamatprasībām;

verificē, ka paraugi ir izstrādāti vai ražoti atbilstīgi minētajai tehniskajai dokumentācijai, un noskaidro, kuri elementi ir projektēti saskaņā ar atbilstīgo harmonizēto standartu un/vai tehnisko specifikāciju piemērojamajiem noteikumiem, kā arī to, kuri elementi ir projektēti un izstrādāti, nepiemērojot šo standartu attiecīgos noteikumus;

veic atbilstīgas pārbaudes un testus vai nodrošina to veikšanu, lai pārbaudītu, vai gadījumos, kad ražotājs izvēlējies piemērot attiecīgajos saskaņotajos standartos vai tehniskajās specifikācijās paredzētos risinājumus attiecībā uz prasībām, kas noteiktas I pielikumā, tie piemēroti pareizi;

veic atbilstīgas pārbaudes un testus vai nodrošina to veikšanu, lai pārbaudītu, vai gadījumos, kad nav piemēroti attiecīgie saskaņotajos standartos vai tehniskajās specifikācijās paredzētie risinājumi attiecībā uz prasībām, kas noteiktas I pielikumā, ražotāja īstenotie risinājumi atbilst attiecīgajām kiberdrošības pamatprasībām;

vienojas ar ražotāju par vietu, kur tiks veiktas šīs pārbaudes un testi.

Ražotājs uzliek CE zīmi katram atsevišķam produktam ar digitāliem elementiem, kurš atbilst ES tipa pārbaudes sertifikātā aprakstītajam tipam un ievēro šajā regulā noteiktās piemērojamās prasības.

Ražotājs rakstiski sastāda produkta modeļa atbilstības deklarāciju un glabā to kopā ar tehnisko dokumentāciju valsts iestāžu vajadzībām vismaz 10 gadus pēc produkta ar digitāliem elementiem laišanas tirgū vai atbalsta periodā (atkarībā no tā, kurš termiņš ir ilgāks). Atbilstības deklarācijā identificē produkta modeli, kam šī deklarācija ir sagatavota. Atbilstības deklarācijas kopiju pēc pieprasījuma dara pieejamu visām attiecīgajām iestādēm.

Ražotājs iesniedz paša izvēlētajai paziņotajai struktūrai pieteikumu novērtēt attiecīgo produktu ar digitāliem elementiem kvalitātes nodrošināšanas sistēmu.

Pieteikumā iekļauj:

Kvalitātes nodrošināšanas sistēma garantēs produktu ar digitāliem elementiem atbilstību I pielikuma I daļā noteiktajām kiberdrošības pamatprasībām un ražotāja ieviesto ievainojamību novēršanas procesu atbilstību I pielikuma II daļā noteiktajām pamatprasībām.

Visi elementi, prasības un noteikumi, ko pieņēmis ražotājs, ir sistemātiski un strukturēti dokumentēti rakstisku nostādņu, procedūru un norādījumu veidā. Kvalitātes nodrošināšanas sistēmas dokumentācija rada iespēju konsekventi interpretēt kvalitātes nodrošināšanas programmas, plānus, rokasgrāmatas un dokumentāciju.

Tajā jo īpaši ietver atbilstošu aprakstu par:

Paziņotā struktūra novērtē kvalitātes nodrošināšanas sistēmu, lai noteiktu, vai tā atbilst 3.2. punktā minētajām prasībām.

Tā pieņem, ka šīm prasībām atbilst tie kvalitātes nodrošināšanas sistēmas elementi, kas atbilst attiecīgajām valsts standarta specifikācijām, ar kurām īstenots attiecīgais saskaņotais standarts vai tehniskā specifikācija.

Papildus pieredzei kvalitātes vadības sistēmu jomā vismaz vienam revīzijas grupas loceklim ir jābūt pieredzei attiecīgās produktu jomas un ražošanas tehnoloģijas novērtēšanā un zināšanām par šajā regulā noteiktajām piemērojamajām prasībām. Revīzija ietver novērtēšanas apmeklējumu ražotāja telpās, ja šādas telpas ir. Revīzijas grupa izskata 3.1. punkta b) apakšpunktā minēto tehnisko dokumentāciju, lai pārliecinātos par ražotāja spēju konstatēt šajā regulā noteiktās piemērojamās prasības un veikt nepieciešamās pārbaudes nolūkā nodrošināt produkta ar digitāliem elementiem atbilstību minētajām prasībām.

Lēmumu paziņo ražotājam vai viņa pilnvarotajam pārstāvim.

Paziņojumā iekļauj revīzijas secinājumus un argumentētu novērtējuma lēmumu.

Ražotājs apņemas pildīt pienākumus, kas izriet no apstiprinātās kvalitātes nodrošināšanas sistēmas, un nodrošināt tās atbilstīgu un efektīvu darbu.

Ražotājs informē paziņoto struktūru, kas apstiprinājusi kvalitātes nodrošināšanas sistēmu, par visām plānotajām kvalitātes nodrošināšanas sistēmas izmaiņām.

Paziņotā struktūra izvērtē visas ierosinātās izmaiņas un lemj, vai mainītā kvalitātes nodrošināšanas sistēma joprojām atbildīs prasībām, kas minētas 3.2. punktā, vai arī ir nepieciešams pārvērtējums.

Tā savu lēmumu paziņo ražotājam. Paziņojumā ietver pārbaudes secinājumus un argumentētu novērtējuma lēmumu.

Uzraudzības nolūks ir pārliecināties, ka ražotājs pienācīgi pilda pienākumus, ko paredz apstiprinātā kvalitātes nodrošināšanas sistēma.

Ražotājs nodrošina paziņotās struktūras pārstāvjiem pieeju projektēšanas, izstrādes, ražošanas, inspicēšanas, testēšanas un noliktavu telpām novērtēšanas vajadzībām un sniedz visu vajadzīgo informāciju, jo īpaši:

Paziņotā struktūra periodiski veic revīzijas, lai pārliecinātos, ka ražotājs uztur un izmanto kvalitātes nodrošināšanas sistēmu, un iesniedz ražotājam revīzijas ziņojumu.

Ražotājs uzliek CE zīmi un uz 3.1. punktā minētās paziņotās struktūras atbildību arī šīs struktūras identifikācijas numuru katram atsevišķam produktam ar digitāliem elementiem, kas atbilst I pielikuma I daļā noteiktajām prasībām.

Ražotājs rakstiski sastāda produkta modeļa atbilstības deklarāciju un glabā to kopā ar tehnisko dokumentāciju valsts iestāžu vajadzībām vismaz 10 gadus pēc produkta ar digitāliem elementiem laišanas tirgū vai atbalsta periodā (atkarībā no tā, kurš termiņš ir ilgāks). Atbilstības deklarācijā identificē produkta modeli, kam šī deklarācija ir sagatavota.

Atbilstības deklarācijas kopiju pēc pieprasījuma dara pieejamu visām attiecīgajām iestādēm.

3.1. punktā minēto tehnisko dokumentāciju;

dokumentāciju par 3.1. punktā minēto kvalitātes nodrošināšanas sistēmu;

iepriekš 3.5. punktā minētās apstiprinātās izmaiņas;

paziņotās struktūras lēmumus un ziņojumus, kas minēti 3.5. un 4.3. punktā.