I NODAĻA VISPĀRĪGIE NOTEIKUMI

noteikumus par to, kā darīt pieejamus tirgū produktus ar digitāliem elementiem, lai nodrošinātu šādu produktu kiberdrošību;

kiberdrošības pamatprasības attiecībā uz produktu ar digitāliem elementiem projektēšanu, izstrādi un ražošanu, kā arī ar šiem produktiem saistītos uzņēmēju pienākumus attiecībā uz kiberdrošību;

kiberdrošības pamatprasības par ievainojamību novēršanas procesiem, ko ražotāji ieviesuši, lai attiecībā uz produktiem ar digitāliem elementiem nodrošinātu kiberdrošību produktu sagaidāmās izmantošanas laikposmā, kā arī ar šiem procesiem saistītos uzņēmēju pienākumus;

noteikumus par tirgus uzraudzību, tostarp kontroli, un šajā pantā minēto noteikumu un prasību izpildi.

“produkts ar digitāliem elementiem” ir programmatūras vai aparatūras produkts un tā attālinātās datu apstrādes risinājumi, ieskaitot programmatūras vai aparatūras komponentus, kas tiek laisti tirgū atsevišķi;

“attālināta datu apstrāde” ir tāda datu apstrāde no attāluma, kurai programmatūras projektēšanu un izstrādi ir veicis vai par to ir bijis atbildīgs ražotājs un kuras neesamība liegtu izpildīt kādu no produkta ar digitāliem elementiem funkcijām;

“kiberdrošība” ir kiberdrošība, kā definēts Regulas (ES) 2019/881 2. panta 1) punktā;

“programmatūra” ir elektroniskās informācijas sistēmas daļa, kura sastāv no datora koda;

“aparatūra” ir fiziska elektroniskā informācijas sistēma vai tās daļas, kas spēj apstrādāt, uzglabāt vai pārraidīt digitālos datus;

“komponents” ir programmatūra vai aparatūra, kas paredzēta integrēšanai elektroniskajā informācijas sistēmā;

“elektroniskā informācijas sistēma” ir sistēma, ieskaitot elektriskas vai elektroniskas iekārtas, kas spēj apstrādāt, uzglabāt vai pārraidīt digitālos datus;

“loģiskais savienojums” ir virtuāls datu savienojuma attēlojums, ko īsteno ar programmatūras saskarnes palīdzību;

“fiziskais savienojums” ir savienojums starp elektroniskām informācijas sistēmām vai komponentiem, ko panāk, izmantojot fiziskos līdzekļus, tostarp elektriskās, optiskās vai mehāniskās saskarnes, vadus vai radioviļņus;

“netiešais savienojums” ir tāds savienojums ar ierīci vai tīklu, kas nenotiek tieši, bet gan kā daļa no lielākas sistēmas, kas ir tieši savienojama ar šādu ierīci vai tīklu;

“galapunkts” ir jebkura ierīce, kas savienota ar tīklu un kalpo kā minētā tīkla ieejas punkts;

“uzņēmējs” ir ražotājs, pilnvarotais pārstāvis, importētājs, izplatītājs vai cita fiziska vai juridiska persona, kurai saskaņā ar šo regulu ir pienākumi attiecībā uz produktu ar digitāliem elementiem ražošanu vai to, lai produktus ar digitāliem elementiem darītu pieejamus tirgū;

“ražotājs” ir fiziska vai juridiska persona, kas izstrādā vai ražo produktus ar digitāliem elementiem vai kas ir projektējusi, izstrādājusi vai ražojusi produktus ar digitāliem elementiem un tirgo tos ar savu vārdu vai preču zīmi par atlīdzību, par naudas izteiksmē izteiktiem līdzekļiem vai bez maksas;

“atvērtā pirmkoda programmatūras pārzinis” ir juridiska persona, kura nav ražotājs un kuras nolūks vai mērķis ir sistemātiski un ilgstoši sniegt atbalstu tādu konkrētu produktu ar digitāliem elementiem izstrādei, kas kvalificējami kā brīvi pieejama atvērtā pirmkoda programmatūra un paredzēti komerciālai darbībai, un kura nodrošina minēto produktu dzīvotspēju;

“pilnvarotais pārstāvis” ir fiziska vai juridiska persona, kas iedibināta Savienībā un ir saņēmusi ražotāja rakstisku pilnvaru rīkoties tā vārdā, veicot konkrētus uzdevumus;

“importētājs” ir fiziska vai juridiska persona, kas iedibināta Savienībā un laiž tirgū produktu ar digitāliem elementiem, uz kura ir tādas fiziskas vai juridiskas personas nosaukums vai preču zīme, kas iedibināta ārpus Savienības;

“izplatītājs” ir tāda fiziska vai juridiska persona piegādes ķēdē, kas nav ražotājs vai importētājs un kas produktu ar digitāliem elementiem, neietekmējot tā īpašības, dara pieejamu Savienības tirgū;

“patērētājs” ir fiziska persona, kas darbojas nolūkos, kas nav saistīti ar šīs personas veiktu tirdzniecību, uzņēmējdarbību, amatniecību vai profesiju;

“mikrouzņēmumi”, “mazie uzņēmumi” un “vidējie uzņēmumi” ir attiecīgi mikrouzņēmumi, mazie uzņēmumi un vidējie uzņēmumi, kā definēts Ieteikuma 2003/361/EK pielikumā;

“atbalsta periods” ir periods, kurā ražotājam ir jānodrošina, ka produkta ar digitāliem elementiem ievainojamības tiek novērstas efektīvi un saskaņā ar I pielikuma II daļā noteiktajām kiberdrošības pamatprasībām;

“laist tirgū” nozīmē darīt pieejamu Savienības tirgū produktu ar digitāliem elementiem pirmo reizi;

“darīt pieejamu tirgū” nozīmē, veicot komercdarbību, par maksu vai bez maksas piegādāt izplatīšanai vai izmantošanai Savienības tirgū produktu ar digitāliem elementiem;

“paredzētais nolūks” ir lietojums, kuram ražotājs ir paredzējis produktu ar digitāliem elementiem, ietverot konkrēto kontekstu un lietošanas nosacījumus, kas norādīti informācijā, ko ražotājs sniedzis norādījumos lietotājam, reklāmas vai tirdzniecības materiālos un paziņojumos, kā arī tehniskajā dokumentācijā;

“pamatoti paredzams lietojums” ir lietojums, kas ne vienmēr ir paredzētais nolūks, par ko ražotājs informāciju sniedzis norādījumos lietotājam, reklāmas vai tirdzniecības materiālos un paziņojumos, kā arī tehniskajā dokumentācijā, bet kas, visticamāk, var rasties pamatoti paredzamas cilvēka uzvedības vai tehnisku darbību, vai mijiedarbības rezultātā;

“pamatoti paredzams nepareizs lietojums” ir produkta ar digitāliem elementiem izmantošana veidā, kas neatbilst paredzētajam nolūkam, bet kas var izrietēt no pamatoti paredzamas cilvēka uzvedības vai mijiedarbības ar citām sistēmām;

“paziņojošā iestāde” ir valsts iestāde, kas atbild par to procedūru noteikšanu un veikšanu, kuras nepieciešamas atbilstības novērtēšanas struktūru novērtēšanai, izraudzīšanai un paziņošanai, kā arī to pārraudzībai;

“atbilstības novērtēšana” ir process, kurā verificē, vai ir ievērotas I pielikumā izklāstītās kiberdrošības pamatprasības;

“atbilstības novērtēšanas struktūra” ir atbilstības novērtēšanas struktūra, kā definēts Regulas (EK) Nr. 765/2008 2. panta 13) punktā;

“paziņotā struktūra” ir atbilstības novērtēšanas struktūra, kas izraudzīta saskaņā ar 43. pantu un citiem attiecīgajiem Savienības saskaņošanas tiesību aktiem;

“būtiska modifikācija” ir tādas produkta ar digitāliem elementiem izmaiņas pēc laišanas tirgū, kas ietekmē produkta atbilstību I pielikuma I daļā noteiktajām kiberdrošības pamatprasībām vai izraisa izmaiņas paredzētajā nolūkā, par kuru ir saņemts produkta ar digitāliem elementiem novērtējums;

“CE zīme” ir marķējums, ar ko ražotājs norāda, ka produkts ar digitāliem elementiem un ražotāja ieviestie procesi atbilst I pielikumā izklāstītajām kiberdrošības pamatprasībām un citiem piemērojamiem Savienības saskaņošanas tiesību aktiem, kuros noteikta šādas zīmes uzlikšana;

“Savienības saskaņošanas tiesību akti” ir Savienības tiesību akti, kas uzskaitīti Regulas (ES) 2019/1020 I pielikumā, un jebkuri citi Savienības tiesību akti, ar ko saskaņo to produktu tirdzniecības nosacījumus, uz kuriem attiecas minētā regula;

“tirgus uzraudzības iestāde” ir tirgus uzraudzības iestāde, kā definēts Regulas (ES) 2019/1020 3. panta 4) punktā;

“starptautisks standarts” ir starptautisks standarts, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 1. punkta a) apakšpunktā;

“Eiropas standarts” ir Eiropas standarts, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 1. punkta b) apakšpunktā;

“saskaņotais standarts” ir saskaņots standarts, kā definēts Regulas (ES) Nr. 1025/2012 2. panta 1. punkta c) apakšpunktā;

“kiberdrošības risks” ir incidenta izraisītu zaudējumu vai traucējumu iespējamība, un to izsaka kā šādu zaudējumu vai traucējumu apmēra un incidenta varbūtības apvienojumu;

“būtisks kiberdrošības risks” ir kiberdrošības risks, attiecībā uz kuru, pamatojoties uz tā tehniskajām īpašībām, var pieņemt, ka pastāv liela tāda incidenta varbūtība, kas varētu izraisīt nopietnu negatīvu ietekmi, tajā skaitā radīt ievērojamus materiālus vai nemateriālus zaudējumus vai traucējumus;

“programmatūras materiālu komplekts” ir oficiāls reģistrs, kas ietver datus par tiem komponentiem un piegādes ķēdes attiecībām, kuri iekļauti produkta ar digitāliem elementiem programmatūras sastāvdaļās;

“ievainojamība” ir produkta ar digitāliem elementiem vājums, uzņēmība pret tehniskām problēmām vai nepilnība, ko var izmantot kā kiberdraudus;

“izmantojama ievainojamība” ir ievainojamība, ko pretinieki var efektīvi izmantot praktiskos ekspluatācijas apstākļos;

“aktīvi izmantota ievainojamība” ir ievainojamība sistēmā, par kuru ir ticami pierādījumi, ka ļaunprātīgs dalībnieks bez sistēmas īpašnieka atļaujas ir to izmantojis;

“incidents” ir incidents, kā definēts Direktīvas (ES) 2022/2555 6. panta 6) punktā;

“incidents, kas ietekmē produkta ar digitāliem elementiem drošību” ir incidents, kas negatīvi ietekmē vai spēj negatīvi ietekmēt produkta ar digitāliem elementiem spēju aizsargāt datu vai funkciju pieejamību, autentiskumu, integritāti vai konfidencialitāti;

“gandrīz noticis notikums” ir gandrīz noticis notikums, kā definēts Direktīvas (ES) 2022/2555 6. panta 5) punktā;

“kiberdraudi” ir kiberdraudi, kā definēts Regulas (ES) 2019/881 2. panta 8) punktā;

“personas dati” ir personas dati, kā definēts Regulas (ES) 2016/679 4. panta 1) punktā;

“brīvi pieejama atvērtā pirmkoda programmatūra” ir programmatūra, kuras pirmkods tiek atklāti kopīgots un kura ir pieejama saskaņā ar brīvi pieejama atvērtā pirmkoda licenci, kas nodrošina visas tiesības padarīt to brīvi pieejamu, lietojamu, modificējamu un tālāk izplatāmu;

“atsaukšana” ir atsaukšana, kā definēts Regulas (ES) 2019/1020 3. panta 22) punktā;

“izņemšana” ir izņemšana, kā definēts Regulas (ES) 2019/1020 3. panta 23) punktā;

“par koordinatoru izraudzītā CSIRT” ir CSIRT, kas izraudzīta par koordinatoru, ievērojot Direktīvas (ES) 2022/2555 12. panta 1. punktu.

tie atbilst I pielikuma I daļā izklāstītajām kiberdrošības pamatprasībām ar noteikumu, ka tie ir pareizi instalēti, uzturēti, lietoti tiem paredzētajā nolūkā vai apstākļos, kurus var pamatoti paredzēt, un attiecīgā gadījumā ir instalēti vajadzīgie drošības atjauninājumi; un

ražotāja ieviestie procesi atbilst I pielikuma II daļā izklāstītajām kiberdrošības pamatprasībām.

attīstīt kiberdrošības prasmes un izveidot organizatoriskus un tehnoloģiskus rīkus, lai nodrošinātu kvalificētu speciālistu pietiekamu pieejamību nolūkā atbalstīt tirgus uzraudzības iestāžu un atbilstības novērtēšanas struktūru darbības;

palielināt sadarbību starp privāto sektoru, uzņēmējiem, tostarp pārkvalificējot ražotāju darbiniekus, patērētājus, apmācības sniedzējus, kā arī valsts pārvaldes darbiniekus vai pilnveidojot viņu prasmes un tādējādi paplašinot jauniešu iespējas piekļūt darbvietām kiberdrošības nozarē.