I SKYRIUS BENDROSIOS NUOSTATOS

produktų su skaitmeniniais elementais tiekimo rinkai taisyklės, siekiant užtikrinti tokių produktų kibernetinį saugumą;

produktų su skaitmeniniais elementais projektavimo, kūrimo ir gamybos esminiai kibernetinio saugumo reikalavimai ir ekonominės veiklos vykdytojų pareigos, susijusios su tų produktų kibernetiniu saugumu;

pažeidžiamumo valdymo procesų, kuriuos gamintojai nustatė, kad užtikrintų produktų su skaitmeniniais elementais kibernetinį saugumą per numatomą produktų naudojimo laikotarpį, esminiai kibernetinio saugumo reikalavimai ir ekonominės veiklos vykdytojų pareigos, susijusios su tais procesais;

rinkos priežiūros, įskaitant stebėseną, taisyklės ir šiame straipsnyje nurodytų taisyklių ir reikalavimų vykdymo užtikrinimo nuostatos.

produktas su skaitmeniniais elementais – programinės ar aparatinės įrangos produktas ir jo nuotolinio duomenų tvarkymo sprendiniai, įskaitant atskirai rinkai pateikiamus programinės ar aparatinės įrangos komponentus;

nuotolinis duomenų tvarkymas – per atstumą vykdomas duomenų tvarkymas, kuriam programinę įrangą projektuoja ir kuria gamintojas arba tai daroma jo atsakomybe, ir be kurio produktas su skaitmeniniais elementais negalėtų atlikti vienos iš savo funkcijų;

kibernetinis saugumas – kibernetinis saugumas, kaip apibrėžta Reglamento (ES) 2019/881 2 straipsnio 1 punkte;

programinė įranga – elektroninės informacinės sistemos dalis, sudaryta iš kompiuterinio kodo;

aparatinė įranga – fizinė elektroninė informacinė sistema ar jos dalys, galinčios apdoroti, saugoti ar perduoti skaitmeninius duomenis;

komponentas – programinė ar aparatinė įranga, skirta integruoti į elektroninę informacinę sistemą;

elektroninė informacinė sistema – sistema, įskaitant elektros ar elektroninę įrangą, galinti apdoroti, saugoti ar perduoti skaitmeninius duomenis;

loginė jungtis – virtuali duomenų jungtis per programinės įrangos sąsają;

fizinė jungtis – jungtis tarp elektroninių informacinių sistemų ar komponentų, įrengta fizinėmis priemonėmis, įskaitant elektrines ar mechanines sąsajas, laidus ar radijo bangas;

netiesioginė jungtis – jungtis su įrenginiu ar tinklu, kuri pati nėra tiesioginė, bet yra didesnės su tokiu įrenginiu ar tinklu tiesiogiai sujungtos sistemos dalis;

galinis įrenginys – bet koks įrenginys, prijungtas prie tinklo ir naudojamas kaip prieigos prie to tinklo priemonė;

ekonominės veiklos vykdytojas – gamintojas, įgaliotasis atstovas, importuotojas, platintojas arba kitas fizinis ar juridinis asmuo, kuriam taikomos pareigos, susijusios su produktų su skaitmeniniais elementais gamyba ar produktų su skaitmeniniais elementais tiekimu rinkai, pagal šį reglamentą;

gamintojas – fizinis arba juridinis asmuo, kuris kuria arba gamina produktus su skaitmeniniais elementais arba organizuoja produktų su skaitmeniniais elementais projektavimą, kūrimą ar gamybą ir parduoda juos savo vardu arba su savo prekių ženklu už atlygį, monetizavimą arba nemokamai;

atvirosios programinės įrangos valdytojas – juridinis asmuo, kuris nėra gamintojas, kurio tikslas ar užduotis – sistemingai nuolat teikti paramą konkrečių produktų su skaitmeniniais elementais, kurie laikomi laisvąja ir atvirąja programine įranga ir kurie skirti komercinei veiklai, kūrimui ir kuris užtikrina tų produktų gyvybingumą;

įgaliotasis atstovas – Sąjungoje įsisteigęs fizinis arba juridinis asmuo, gavęs gamintojo rašytinį įgaliojimą veikti jo vardu siekiant atlikti nurodytas užduotis;

importuotojas – Sąjungoje įsisteigęs fizinis arba juridinis asmuo, rinkai pateikiantis produktą su skaitmeniniais elementais, kurio pavadinimas arba prekių ženklas priklauso ne Sąjungoje įsisteigusiam fiziniam arba juridiniam asmeniui;

platintojas – tiekimo grandinėje veikiantis fizinis arba juridinis asmuo, išskyrus gamintoją ir importuotoją, kuris tiekia produktą su skaitmeniniais elementais Sąjungos rinkai nepakeisdamas jo savybių;

vartotojas – fizinis asmuo, kuris veikia siekdamas tikslų, kurie nėra susiję su to asmens komercine veikla, verslu, amatu ar profesija;

labai mažos įmonės, mažosios įmonės ir vidutinės įmonės – atitinkamai labai mažos įmonės, mažosios įmonės ir vidutinės įmonės, kaip apibrėžta Rekomendacijos 2003/361/EB priede;

palaikymo laikotarpis – laikotarpis, per kurį gamintojas privalo užtikrinti, kad produkto su skaitmeniniais elementais pažeidžiamumai būtų valdomi veiksmingai ir laikantis I priedo II dalyje nustatytų esminių kibernetinio saugumo reikalavimų;

pateikimas rinkai – produkto su skaitmeniniais elementais pateikimas Sąjungos rinkai pirmą kartą;

tiekimas rinkai – produkto su skaitmeniniais elementais tiekimas platinti ar naudoti Sąjungos rinkoje vykdant komercinę veiklą už atlygį arba nemokamai;

numatytoji paskirtis – gamintojo numatyta produkto su skaitmeniniais elementais paskirtis, įskaitant konkrečias naudojimo aplinkybes ir sąlygas, nurodyta informacijoje, kurią gamintojas pateikė naudojimo instrukcijose, reklaminėje ar pardavimo medžiagoje bei aprašymuose ir techniniuose dokumentuose;

pagrįstai numatomas naudojimas – naudojimas nebūtinai pagal gamintojo numatytąją paskirtį, kurią jis nurodė naudojimo instrukcijose, reklaminėje ar pardavimo medžiagoje bei aprašymuose ir techniniuose dokumentuose, kuris galimas dėl pagrįstai numatomo žmogaus elgesio, techninių operacijų ar sąveikos;

pagrįstai numatomas netinkamas naudojimas – produkto su skaitmeniniais elementais naudojimas ne pagal jo numatytąją paskirtį, kurį gali nulemti pagrįstai numatomas žmogaus elgesys ar sąveika su kitomis sistemomis;

notifikuojančioji institucija – nacionalinė institucija, atsakinga už atitikties vertinimo įstaigoms vertinti, skirti ir notifikuoti būtinų procedūrų nustatymą bei vykdymą ir už tų įstaigų stebėseną;

atitikties vertinimas – tikrinimo, ar įvykdyti I priede nustatyti esminiai kibernetinio saugumo reikalavimai, procesas;

atitikties vertinimo įstaiga – atitikties vertinimo įstaiga, kaip apibrėžta Reglamento (EB) Nr. 765/2008 2 straipsnio 13 punkte;

notifikuotoji įstaiga – atitikties vertinimo įstaiga, paskirta pagal 43 straipsnį ir kitus atitinkamus Sąjungos derinamuosius teisės aktus;

esminis pakeitimas – produkto su skaitmeniniais elementais pakeitimas po jo pateikimo rinkai, kuris daro poveikį produkto su skaitmeniniais elementais atitikčiai I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams arba dėl kurio pasikeičia numatytoji paskirtis, pagal kurią buvo atliekamas produkto su skaitmeniniais elementais vertinimas;

CE ženklas – ženklas, kuriuo gamintojas nurodo, kad produktas su skaitmeniniais elementais ir gamintojo įdiegti procesai atitinka I priede nustatytus esminius kibernetinio saugumo reikalavimus ir kitus taikomus Sąjungos derinamuosius teisės aktus, kuriais nustatomas toks ženklinimas;

Sąjungos derinamieji teisės aktai – Sąjungos teisės aktai, išvardyti Reglamento (ES) 2019/1020 I priedo sąraše, ir kiti Sąjungos teisės aktai, kuriais suderinamos gaminių, kuriems taikomas tas reglamentas, pardavimo sąlygos;

rinkos priežiūros institucija – rinkos priežiūros institucija, kaip apibrėžta Reglamento (ES) 2019/1020 3 straipsnio 4 punkte;

tarptautinis standartas – tarptautinis standartas, kaip apibrėžta Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkto a papunktyje;

Europos standartas – Europos standartas, kaip apibrėžta Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkto b papunktyje;

darnusis standartas – darnusis standartas, kaip apibrėžta Reglamento (ES) Nr. 1025/2012 2 straipsnio 1 punkto c papunktyje;

kibernetinio saugumo rizika – nuostolio arba sutrikimo, kurį sukelia incidentas, potencialas; ji išreiškiama kaip tokio nuostolio arba sutrikimo masto ir to incidento įvykimo tikimybės derinys;

didelė kibernetinio saugumo rizika – kibernetinio saugumo rizika, dėl kurios, atsižvelgiant į jos technines charakteristikas, galima manyti, kad yra didelė incidento, galinčio sukelti didelį neigiamą poveikį, įskaitant didelius materialinius ar nematerialinius nuostolius arba sutrikimus, tikimybė;

programinės įrangos medžiagų žiniaraštis – oficialus dokumentas, kuriame pateikiama produkto su skaitmeniniais elementais programinės įrangos elementuose naudojamų komponentų informacija ir tiekimo grandinės ryšiai;

pažeidžiamumas – produkto su skaitmeniniais elementais silpnoji vieta, jautrumas ar trūkumas, kuriais gali būti pasinaudota kibernetinei grėsmei kelti;

pažeidžiamumas, kurį galima išnaudoti – pažeidžiamumas, kurį gali veiksmingai panaudoti priešininkas praktinėmis veiklos sąlygomis;

aktyviai išnaudojamas pažeidžiamumas – pažeidžiamumas, kuriuo, kaip matyti iš patikimų įrodymų, piktavalis subjektas pasinaudojo sistemoje be sistemos savininko leidimo;

incidentas – incidentas, kaip apibrėžta Direktyvos (ES) 2022/2555 6 straipsnio 6 punkte;

incidentas, darantis poveikį produkto su skaitmeniniais elementais saugumui – incidentas, kuris neigiamai veikia arba gali neigiamai paveikti produkto su skaitmeniniais elementais gebėjimą apsaugoti duomenų arba funkcijų prieinamumą, autentiškumą, vientisumą ar konfidencialumą;

vos neįvykęs incidentas – vos neįvykęs incidentas, kaip apibrėžta Direktyvos (ES) 2022/2555 6 straipsnio 5 punkte;

kibernetinė grėsmė – kibernetinė grėsmė, kaip apibrėžta Reglamento (ES) 2019/881 2 straipsnio 8 punkte;

asmens duomenys – asmens duomenys, kaip apibrėžta Reglamento (ES) 2016/679 4 straipsnio 1 punkte;

laisvoji ir atviroji programinė įranga – programinė įranga, kurios pirminiu kodu atvirai dalijamasi ir kuri pateikiama pagal laisvąją atvirojo kodo licenciją, kurioje numatytos visos teisės padaryti, kad ji būtų laisvai prieinama, naudojama, keičiama ir pakartotinai platinama;

atšaukimas – atšaukimas, kaip apibrėžta Reglamento (ES) 2019/1020 3 straipsnio 22 punkte;

pašalinimas – pašalinimas, kaip apibrėžta Reglamento (ES) 2019/1020 3 straipsnio 23 punkte;

koordinatore paskirta CSIRT – pagal Direktyvos (ES) 2022/2555 12 straipsnio 1 dalį koordinatore paskirta CSIRT.

jie atitinka I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus, su sąlyga, kad jie yra tinkamai įrengiami, techniškai prižiūrimi, naudojami pagal numatytąją paskirtį arba tokiomis sąlygomis, kurias galima pagrįstai numatyti, ir, jei taikytina, juose yra įdiegti reikiami saugumo naujiniai, ir

gamintojo įdiegti procesai atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.

ugdyti kibernetinio saugumo įgūdžius ir kurti organizacines bei technologines priemones, kad būtų užtikrintas pakankamas kvalifikuotų specialistų skaičius, siekiant padėti rinkos priežiūros institucijoms ir atitikties vertinimo įstaigoms vykdyti savo veiklą;

didinti privačiojo sektoriaus ir ekonominės veiklos vykdytojų bendradarbiavimą, be kita ko, perkvalifikuojant gamintojų darbuotojus, vartotojus, mokymo paslaugų teikėjus ir viešojo administravimo subjektus arba keliant jų kvalifikaciją ir tokiu būdu didinant galimybes jaunimui gauti darbą kibernetinio saugumo sektoriuje.