+EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2024/2847, annettu 23 päivänä lokakuuta 2024, digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvallisuusvaatimuksista ja asetusten (EU) N:o 168/2013 ja (EU) 2019/1020 ja direktiivin (EU) 2020/1828 muuttamisesta (kyberkestävyyssäädös) (ETA:n kannalta merkityksellinen teksti)
---+I LUKU YLEISET SÄÄNNÖKSET
------+1 artikla Kohde
------+2 artikla Soveltamisala
---------+2 artikla 1.
---------+2 artikla 2.
---------+2 artikla 3.
---------+2 artikla 4.
---------+2 artikla 5.
---------+2 artikla 6.
---------+2 artikla 7.
---------+2 artikla 8.
------+3 artikla Määritelmät
------+4 artikla Vapaa liikkuvuus
---------+4 artikla 1.
---------+4 artikla 2.
---------+4 artikla 3.
---------+4 artikla 4.
------+5 artikla Digitaalisia elementtejä sisältävien tuotteiden hankinnat tai käyttö
---------+5 artikla 1.
---------+5 artikla 2.
------+6 artikla Digitaalisia elementtejä sisältäviä tuotteita koskevat vaatimukset
------+7 artikla Digitaalisia elementtejä sisältävät tärkeät tuotteet
---------+7 artikla 1.
---------+7 artikla 2.
---------+7 artikla 3.
---------+7 artikla 4.
------+8 artikla Digitaalisia elementtejä sisältävät kriittiset tuotteet
---------+8 artikla 1.
---------+8 artikla 2.
------+9 artikla Sidosryhmien kuuleminen
---------+9 artikla 1.
---------+9 artikla 2.
------+10 artikla Osaamisen vahvistaminen kyberkestävässä digitaalisessa ympäristössä
------+11 artikla Yleinen tuoteturvallisuus
------+12 artikla Suuririskiset tekoälyjärjestelmät
---------+12 artikla 1.
---------+12 artikla 2.
---------+12 artikla 3.
---------+12 artikla 4.
---+II LUKU TALOUDEN TOIMIJOIDEN VELVOLLISUUDET JA VAPAITA JA AVOIMEN LÄHDEKOODIN OHJELMISTOJA KOSKEVAT SÄÄNNÖKSET
------+13 artikla Valmistajien velvollisuudet
---------+13 artikla 1.
---------+13 artikla 2.
---------+13 artikla 3.
---------+13 artikla 4.
---------+13 artikla 5.
---------+13 artikla 6.
---------+13 artikla 7.
---------+13 artikla 8.
---------+13 artikla 9.
---------+13 artikla 10.
---------+13 artikla 11.
---------+13 artikla 12.
---------+13 artikla 13.
---------+13 artikla 14.
---------+13 artikla 15.
---------+13 artikla 16.
---------+13 artikla 17.
---------+13 artikla 18.
---------+13 artikla 19.
---------+13 artikla 20.
---------+13 artikla 21.
---------+13 artikla 22.
---------+13 artikla 23.
---------+13 artikla 24.
---------+13 artikla 25.
------+14 artikla Valmistajien raportointivelvoitteet
---------+14 artikla 1.
---------+14 artikla 2.
---------+14 artikla 3.
---------+14 artikla 4.
---------+14 artikla 5.
---------+14 artikla 6.
---------+14 artikla 7.
---------+14 artikla 8.
---------+14 artikla 9.
---------+14 artikla 10.
------+15 artikla Vapaaehtoinen raportointi
---------+15 artikla 1.
---------+15 artikla 2.
---------+15 artikla 3.
---------+15 artikla 4.
---------+15 artikla 5.
------+16 artikla Keskitetyn raportointialustan perustaminen
---------+16 artikla 1.
---------+16 artikla 2.
---------+16 artikla 3.
---------+16 artikla 4.
---------+16 artikla 5.
---------+16 artikla 6.
------+17 artikla Muut raportointiin liittyvät säännökset
---------+17 artikla 1.
---------+17 artikla 2.
---------+17 artikla 3.
---------+17 artikla 4.
---------+17 artikla 5.
---------+17 artikla 6.
------+18 artikla Valtuutetut edustajat
---------+18 artikla 1.
---------+18 artikla 2.
---------+18 artikla 3.
------+19 artikla Maahantuojien velvollisuudet
---------+19 artikla 1.
---------+19 artikla 2.
---------+19 artikla 3.
---------+19 artikla 4.
---------+19 artikla 5.
---------+19 artikla 6.
---------+19 artikla 7.
---------+19 artikla 8.
------+20 artikla Jakelijoiden velvollisuudet
---------+20 artikla 1.
---------+20 artikla 2.
---------+20 artikla 3.
---------+20 artikla 4.
---------+20 artikla 5.
---------+20 artikla 6.
------+21 artikla Tapaukset, joissa valmistajien velvoitteita sovelletaan maahantuojiin ja jakelijoihin
------+22 artikla Muut tapaukset, joissa sovelletaan valmistajien velvollisuuksia
---------+22 artikla 1.
---------+22 artikla 2.
------+23 artikla Talouden toimijoiden yksilöiminen
---------+23 artikla 1.
---------+23 artikla 2.
------+24 artikla Avoimen lähdekoodin ohjelmistovastaavien velvollisuudet
---------+24 artikla 1.
---------+24 artikla 2.
---------+24 artikla 3.
------+25 artikla Vapaan ja avoimen lähdekoodin ohjelmiston tietoturvatodistus
------+26 artikla Ohjeet
---------+26 artikla 1.
---------+26 artikla 2.
---------+26 artikla 3.
---+III LUKU DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄN TUOTTEEN VAATIMUSTENMUKAISUUS
------+27 artikla Vaatimustenmukaisuusolettama
---------+27 artikla 1.
---------+27 artikla 2.
---------+27 artikla 3.
---------+27 artikla 4.
---------+27 artikla 5.
---------+27 artikla 6.
---------+27 artikla 7.
---------+27 artikla 8.
---------+27 artikla 9.
------+28 artikla EU-vaatimustenmukaisuusvakuutus
---------+28 artikla 1.
---------+28 artikla 2.
---------+28 artikla 3.
---------+28 artikla 4.
---------+28 artikla 5.
------+29 artikla CE-merkintää koskevat yleiset periaatteet
------+30 artikla CE-merkinnän tuotteeseen kiinnittämistä tai liittämistä koskevat säännöt ja ehdot
---------+30 artikla 1.
---------+30 artikla 2.
---------+30 artikla 3.
---------+30 artikla 4.
---------+30 artikla 5.
---------+30 artikla 6.
------+31 artikla Tekniset asiakirjat
---------+31 artikla 1.
---------+31 artikla 2.
---------+31 artikla 3.
---------+31 artikla 4.
---------+31 artikla 5.
------+32 artikla Digitaalisia elementtejä sisältävien tuotteiden vaatimustenmukaisuuden arviointimenettelyt
---------+32 artikla 1.
---------+32 artikla 2.
---------+32 artikla 3.
---------+32 artikla 4.
---------+32 artikla 5.
---------+32 artikla 6.
------+33 artikla Tukitoimet mikroyrityksille ja pienille ja keskisuurille yritykselle, mukaan lukien startup-yritykset
---------+33 artikla 1.
---------+33 artikla 2.
---------+33 artikla 3.
---------+33 artikla 4.
---------+33 artikla 5.
------+34 artikla Vastavuoroista tunnustamista koskevat sopimukset
---+IV LUKU VAATIMUSTENMUKAISUUDEN ARVIOINTILAITOSTEN ILMOITTAMINEN
------+35 artikla Ilmoittaminen
---------+35 artikla 1.
---------+35 artikla 2.
------+36 artikla Ilmoittamisesta vastaavat viranomaiset
---------+36 artikla 1.
---------+36 artikla 2.
---------+36 artikla 3.
---------+36 artikla 4.
------+37 artikla Ilmoittamisesta vastaavia viranomaisia koskevat vaatimukset
---------+37 artikla 1.
---------+37 artikla 2.
---------+37 artikla 3.
---------+37 artikla 4.
---------+37 artikla 5.
---------+37 artikla 6.
------+38 artikla Ilmoittamisesta vastaavien viranomaisten tiedotusvelvollisuus
---------+38 artikla 1.
---------+38 artikla 2.
------+39 artikla Ilmoitettuja laitoksia koskevat vaatimukset
---------+39 artikla 1.
---------+39 artikla 2.
---------+39 artikla 3.
---------+39 artikla 4.
---------+39 artikla 5.
---------+39 artikla 6.
---------+39 artikla 7.
---------+39 artikla 8.
---------+39 artikla 9.
---------+39 artikla 10.
---------+39 artikla 11.
---------+39 artikla 12.
------+40 artikla Ilmoitettujen laitosten vaatimustenmukaisuusolettama
------+41 artikla Ilmoitettujen laitosten tytäryhtiöt ja alihankinta
---------+41 artikla 1.
---------+41 artikla 2.
---------+41 artikla 3.
---------+41 artikla 4.
------+42 artikla Ilmoittamista koskeva hakemus
---------+42 artikla 1.
---------+42 artikla 2.
---------+42 artikla 3.
------+43 artikla Ilmoitusmenettely
---------+43 artikla 1.
---------+43 artikla 2.
---------+43 artikla 3.
---------+43 artikla 4.
---------+43 artikla 5.
---------+43 artikla 6.
------+44 artikla Ilmoitettujen laitosten tunnusnumerot ja luettelot
---------+44 artikla 1.
---------+44 artikla 2.
------+45 artikla Muutokset ilmoituksiin
---------+45 artikla 1.
---------+45 artikla 2.
------+46 artikla Ilmoitettujen laitosten pätevyyden riitauttaminen
---------+46 artikla 1.
---------+46 artikla 2.
---------+46 artikla 3.
---------+46 artikla 4.
------+47 artikla Ilmoitettujen laitosten toimintaan liittyvät velvollisuudet
---------+47 artikla 1.
---------+47 artikla 2.
---------+47 artikla 3.
---------+47 artikla 4.
---------+47 artikla 5.
---------+47 artikla 6.
------+48 artikla Muutoksenhaku ilmoitettujen laitosten päätöksiin
------+49 artikla Ilmoitettujen laitosten tiedotusvelvollisuus
---------+49 artikla 1.
---------+49 artikla 2.
------+50 artikla Kokemusten vaihto
------+51 artikla Ilmoitettujen laitosten koordinointi
---------+51 artikla 1.
---------+51 artikla 2.
---+V LUKU MARKKINAVALVONTA JA TÄYTÄNTÖÖNPANO
------+52 artikla Markkinavalvonta ja digitaalisia elementtejä sisältäville tuotteille unionin markkinoilla tehtävät tarkastukset
---------+52 artikla 1.
---------+52 artikla 2.
---------+52 artikla 3.
---------+52 artikla 4.
---------+52 artikla 5.
---------+52 artikla 6.
---------+52 artikla 7.
---------+52 artikla 8.
---------+52 artikla 9.
---------+52 artikla 10.
---------+52 artikla 11.
---------+52 artikla 12.
---------+52 artikla 13.
---------+52 artikla 14.
---------+52 artikla 15.
---------+52 artikla 16.
------+53 artikla Tietojen ja dokumentaation saatavuus
------+54 artikla Kansallisen tason menettely digitaalisia elementtejä sisältäviä merkittävän kyberturvallisuusriskin aiheuttavia tuotteita varten
---------+54 artikla 1.
---------+54 artikla 2.
---------+54 artikla 3.
---------+54 artikla 4.
---------+54 artikla 5.
---------+54 artikla 6.
---------+54 artikla 7.
---------+54 artikla 8.
---------+54 artikla 9.
------+55 artikla Unionin suojamenettely
---------+55 artikla 1.
---------+55 artikla 2.
---------+55 artikla 3.
---------+55 artikla 4.
---------+55 artikla 5.
------+56 artikla Unionin tason menettely digitaalisia elementtejä sisältäviä merkittävän kyberturvallisuusriskin aiheuttavia tuotteita varten
---------+56 artikla 1.
---------+56 artikla 2.
---------+56 artikla 3.
---------+56 artikla 4.
---------+56 artikla 5.
---------+56 artikla 6.
---------+56 artikla 7.
------+57 artikla Vaatimustenmukaiset digitaalisia elementtejä sisältävät tuotteet, jotka aiheuttavat merkittävän kyberturvallisuusriskin
---------+57 artikla 1.
---------+57 artikla 2.
---------+57 artikla 3.
---------+57 artikla 4.
---------+57 artikla 5.
---------+57 artikla 6.
---------+57 artikla 7.
---------+57 artikla 8.
---------+57 artikla 9.
---------+57 artikla 10.
---------+57 artikla 11.
------+58 artikla Muodollinen vaatimustenvastaisuus
---------+58 artikla 1.
---------+58 artikla 2.
------+59 artikla Markkinavalvontaviranomaisten yhteistoimet
---------+59 artikla 1.
---------+59 artikla 2.
---------+59 artikla 3.
---------+59 artikla 4.
---------+59 artikla 5.
------+60 artikla Tehotarkastukset
---------+60 artikla 1.
---------+60 artikla 2.
---------+60 artikla 3.
---------+60 artikla 4.
---------+60 artikla 5.
---+VI LUKU SÄÄDÖSVALLAN SIIRTÄMINEN JA KOMITEAMENETTELY
------+61 artikla Siirretyn säädösvallan käyttäminen
---------+61 artikla 1.
---------+61 artikla 2.
---------+61 artikla 3.
---------+61 artikla 4.
---------+61 artikla 5.
---------+61 artikla 6.
------+62 artikla Komiteamenettely
---------+62 artikla 1.
---------+62 artikla 2.
---------+62 artikla 3.
---+VII LUKU LUOTTAMUKSELLISUUS JA SEURAAMUKSET
------+63 artikla Luottamuksellisuus
---------+63 artikla 1.
---------+63 artikla 2.
---------+63 artikla 3.
---------+63 artikla 4.
------+64 artikla Seuraamukset
---------+64 artikla 1.
---------+64 artikla 2.
---------+64 artikla 3.
---------+64 artikla 4.
---------+64 artikla 5.
---------+64 artikla 6.
---------+64 artikla 7.
---------+64 artikla 8.
---------+64 artikla 9.
---------+64 artikla 10.
------+65 artikla Edustajakanteet
---+VIII LUKU SIIRTYMÄSÄÄNNÖKSET JA LOPPUSÄÄNNÖKSET
------+66 artikla Asetuksen (EU) 2019/1020 muuttaminen
------+67 artikla Direktiivin (EU) 2020/1828 muuttaminen
------+68 artikla Asetuksen (EU) N:o 168/2013 muuttaminen
------+69 artikla Siirtymäsäännökset
---------+69 artikla 1.
---------+69 artikla 2.
---------+69 artikla 3.
------+70 artikla Arviointi ja uudelleentarkastelu
---------+70 artikla 1.
---------+70 artikla 2.
------+71 artikla Voimaantulo ja soveltaminen
---------+71 artikla 1.
---------+71 artikla 2.
---+LIITE I OLENNAISET KYBERTURVALLISUUSVAATIMUKSET
---+LIITE II KÄYTTÄJÄLLE ANNETTAVAT TIEDOT JA OHJEET
---+LIITE III DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄT TÄRKEÄT TUOTTEET
---+LIITE IV DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄT KRIITTISET TUOTTEET
---+LIITE V EU-VAATIMUSTENMUKAISUUSVAKUUTUS
---+LIITE VI YKSINKERTAISTETTU EU-VAATIMUSTENMUKAISUUSVAKUUTUS
---+LIITE VII TEKNISTEN ASIAKIRJOJEN SISÄLTÖ
---+LIITE VIII VAATIMUSTENMUKAISUUDEN ARVIOINTIMENETTELYT
|
English -
European Union -
EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2024/2847, annettu 23 päivänä lokakuuta 2024, digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvallisuusvaatimuksista ja asetusten (EU) N:o 168/2013 ja (EU) 2019/1020 ja direktiivin (EU) 2020/1828 muuttamisesta (kyberkestävyyssäädös) (ETA:n kannalta merkityksellinen teksti)
EUROOPAN PARLAMENTIN JA NEUVOSTON ASETUS (EU) 2024/2847,
annettu 23 päivänä lokakuuta 2024,
digitaalisia elementtejä sisältävien tuotteiden horisontaalisista kyberturvallisuusvaatimuksista ja asetusten (EU) N:o 168/2013 ja (EU) 2019/1020 ja direktiivin (EU) 2020/1828 muuttamisesta (kyberkestävyyssäädös)
(ETA:n kannalta merkityksellinen teksti)
Tämä asetus on kaikilta osiltaan velvoittava, ja sitä sovelletaan sellaisenaan kaikissa jäsenvaltioissa.
1. Yleiskatsaus
| Otsikko |
Sääntely |
|
I LUKU YLEISET SÄÄNNÖKSET
|
I LUKU YLEISET SÄÄNNÖKSET
|
|
II LUKU TALOUDEN TOIMIJOIDEN VELVOLLISUUDET JA VAPAITA JA AVOIMEN LÄHDEKOODIN OHJELMISTOJA KOSKEVAT SÄÄNNÖKSET
|
II LUKU TALOUDEN TOIMIJOIDEN VELVOLLISUUDET JA VAPAITA JA AVOIMEN LÄHDEKOODIN OHJELMISTOJA KOSKEVAT SÄÄNNÖKSET
|
|
III LUKU DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄN TUOTTEEN VAATIMUSTENMUKAISUUS
|
III LUKU DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄN TUOTTEEN VAATIMUSTENMUKAISUUS
|
|
IV LUKU VAATIMUSTENMUKAISUUDEN ARVIOINTILAITOSTEN ILMOITTAMINEN
|
IV LUKU VAATIMUSTENMUKAISUUDEN ARVIOINTILAITOSTEN ILMOITTAMINEN
|
|
V LUKU MARKKINAVALVONTA JA TÄYTÄNTÖÖNPANO
|
V LUKU MARKKINAVALVONTA JA TÄYTÄNTÖÖNPANO
|
|
VI LUKU SÄÄDÖSVALLAN SIIRTÄMINEN JA KOMITEAMENETTELY
|
VI LUKU SÄÄDÖSVALLAN SIIRTÄMINEN JA KOMITEAMENETTELY
|
|
VII LUKU LUOTTAMUKSELLISUUS JA SEURAAMUKSET
|
VII LUKU LUOTTAMUKSELLISUUS JA SEURAAMUKSET
|
|
VIII LUKU SIIRTYMÄSÄÄNNÖKSET JA LOPPUSÄÄNNÖKSET
|
VIII LUKU SIIRTYMÄSÄÄNNÖKSET JA LOPPUSÄÄNNÖKSET
|
|
LIITE I OLENNAISET KYBERTURVALLISUUSVAATIMUKSET
|
LIITE I
OLENNAISET KYBERTURVALLISUUSVAATIMUKSET
I osa Digitaalisia elementtejä sisältävien tuotteiden ominaisuuksiin liittyvät kyberturvallisuusvaatimukset
1) Digitaalisia elementtejä sisältävät tuotteet on suunniteltava, kehitettävä ja tuotettava siten, että niiden kyberturvallisuuden taso on oikeassa suhteessa riskeihin.
2) Digitaalisia elementtejä sisältävien tuotteiden on tämän asetuksen 13 artiklan 2 kohdassa tarkoitetun kyberturvallisuusriskien arvioinnin perusteella ja soveltuvin osin täytettävä seuraavat vaatimukset:
a)
ne on asetettava saataville markkinoilla ilman tiedossa olevia hyödynnettävissä olevia haavoittuvuuksia;
b)
ne on asetettava saataville markkinoilla oletusarvoisesti tietoturvallisin asetuksin, jolleivät valmistaja ja yrityskäyttäjä ole digitaalisia elementtejä sisältävän räätälöidyn tuotteen osalta sopineet toisin, ja ne on voitava palauttaa alkuperäiseen tilaansa;
c)
niissä on varmistettava, että haavoittuvuuksiin voidaan puuttua tietoturvapäivityksillä, kuten tapauksen mukaan automaattisilla tietoturvapäivityksillä, joiden asentaminen asianmukaisessa ajassa on oletusasetuksena sallittu, että käytettävissä on selkeä ja helppokäyttöinen estomekanismi ja että käyttäjille ilmoitetaan saatavilla olevista päivityksistä ja mahdollisuudesta lykätä niitä tilapäisesti;
d)
niissä on varmistettava suojaaminen luvattomalta käytöltä asianmukaisin valvontamekanismein, joita sovelletaan muun muassa todennus-, identiteetinhallinta- tai pääsynhallintajärjestelmiin, ja ilmoitettava mahdollisesta luvattomasta käytöstä;
e)
niissä on suojattava tallennettujen, siirrettyjen tai muulla tavoin käsiteltyjen henkilötietojen tai muiden tietojen luottamuksellisuus esimerkiksi salaamalla asiaankuuluvat tiedot uusimman tekniikan mukaisilla mekanismeilla tietoja siirrettäessä tai säilytettäessä ja käyttämällä muita teknisiä keinoja;
f)
niissä on suojattava tallennettujen, siirrettyjen tai muulla tavoin käsiteltyjen henkilötietojen tai muiden tietojen eheys, komennot, ohjelmat ja asetukset kaikelta manipuloinnilta tai muuttamiselta, johon käyttäjä ei ole antanut lupaa, ja ilmoitettava turmeltumisesta;
g)
niissä on käsiteltävä ainoastaan sellaisia henkilötietoja tai muita tietoja, jotka ovat asianmukaisia ja olennaisia ja rajoitettuja siihen, mikä on tarpeellista suhteessa digitaalisia elementtejä sisältävän tuotteen käyttötarkoitukseen (tietojen minimointi);
h)
niissä on suojattava olennaisten toimintojen ja perustoimintojen saatavuus, myös poikkeaman jälkeen, mihin kuuluvat myös palvelunestohyökkäysten varalta toteutettavat häiriönsietokykyä parantavat ja hyökkäysten vaikutuksia lieventävät toimenpiteet;
i)
niissä on minimoitava kielteinen vaikutus, joka tuotteilla itsellään tai verkkoon liitetyillä laitteilla on muiden laitteiden tai verkkojen tarjoamien palvelujen saatavuuteen;
j)
ne on suunniteltava, kehitettävä ja tuotettava siten, että hyökkäyspintoja, kuten ulkoisia rajapintoja, on mahdollisimman vähän;
k)
ne on suunniteltava, kehitettävä ja tuotettava siten, että poikkeaman vaikutukset pidetään mahdollisimman vähäisinä käyttäen asianmukaisia haavoittuvuuden hyödyntämisen vaikutusten lieventämismekanismeja ja -tekniikoita;
l)
niiden on tuotettava tietoturvaan liittyvää informaatiota tallentamalla ja seuraamalla asiaan liittyvää sisäistä toimintaa, kuten tietojen, palvelujen tai toimintojen käyttöä tai muutoksia, sekä tarjottava käyttäjän käyttöön estomekanismi;
m)
tarjottava käyttäjille mahdollisuus poistaa kaikki tiedot ja asetukset pysyvästi turvallisella ja helpolla tavalla ja, jos tällaisia tietoja voidaan siirtää muihin tuotteisiin tai järjestelmiin, varmistettava, että tämä tapahtuu turvatusti.
II osa Haavoittuvuuksien käsittelyä koskevat vaatimukset
Digitaalisia elementtejä sisältävien tuotteiden valmistajien on
1)
tunnistettava ja dokumentoitava digitaalisia elementtejä sisältävään tuotteeseen sisältyvät haavoittuvuudet ja komponentit muun muassa laatimalla vähintään tuotteiden ylimmän tason riippuvuudet kattava ohjelmistojen materiaaliluettelo yleisesti käytetyssä ja koneluettavassa muodossa;
2)
digitaalisia elementtejä sisältäviin tuotteisiin kohdistuvien riskien yhteydessä puututtava haavoittuvuuksiin ja korjattava ne viipymättä, esimerkiksi tarjoamalla tietoturvapäivityksiä; jos se on teknisesti mahdollista, uudet tietoturvapäivitykset on tarjottava erillään toimintopäivityksistä;
3)
tehtävä säännöllisesti digitaalisia elementtejä sisältävän tuotteen tietoturvaan liittyviä tehokkaita testejä ja arviointeja;
4)
kun tietoturvapäivitys on asetettu saataville, jaettava ja julkistettava tiedot korjatuista haavoittuvuuksista, mukaan lukien kuvaus haavoittuvuuksista, tiedot, joiden avulla käyttäjät voivat tunnistaa kyseisen digitaalisia elementtejä sisältävän tuotteen, haavoittuvuuksien vaikutukset ja vakavuus sekä selkeät ja saavutettavat tiedot, jotka auttavat käyttäjiä korjaamaan haavoittuvuudet; asianmukaisesti perustelluissa tapauksissa, joissa valmistajat pitävät julkistamisen turvallisuusriskejä sen turvallisuushyötyjä merkittävämpinä, ne voivat lykätä korjattua haavoittuvuutta koskevien tietojen julkistamista, kunnes käyttäjille on annettu mahdollisuus asentaa asiaankuuluva korjaava päivitys;
5)
otettava käyttöön koordinoitua haavoittuvuuksien julkistamista koskevat periaatteet ja valvottava niiden noudattamista;
6)
toteutettava toimenpiteitä, joilla helpotetaan tietojen jakamista oman digitaalisia elementtejä sisältävän tuotteensa ja kyseisen tuotteen sisältämien kolmannen osapuolen komponenttien mahdollisista haavoittuvuuksista, muun muassa ilmoittamalla yhteysosoite digitaalisia elementtejä sisältävässä tuotteessa havaittujen haavoittuvuuksien raportointia varten;
7)
huolehdittava mekanismeista digitaalisia elementtejä sisältävien tuotteiden päivitysten tietoturvallisen jakelun varmistamiseksi, jotta haavoittuvuudet korjataan tai niiden vaikutuksia lievennetään pikaisesti ja tietoturvapäivitysten tapauksessa soveltuvin osin automaattisesti;
8)
varmistettava, että jos havaittujen tietoturvaongelmien ratkaisemiseksi on saatavilla tietoturvapäivityksiä, niitä levitetään viipymättä ja, jolleivat valmistaja ja yrityskäyttäjä ole digitaalisia elementtejä sisältävän räätälöidyn tuotteen osalta sopineet toisin, maksutta ja että niihin liitetään tarvittavat ohjeet, myös mahdollisista käyttäjältä edellytettävistä toimista.
|
|
LIITE II KÄYTTÄJÄLLE ANNETTAVAT TIEDOT JA OHJEET
|
LIITE II
KÄYTTÄJÄLLE ANNETTAVAT TIEDOT JA OHJEET
Digitaalisia elementtejä sisältävän tuotteen mukana on toimitettava vähintään seuraavat tiedot:
1.
valmistajan nimi, rekisteröity toiminimi tai rekisteröity tavaramerkki sekä postiosoite, sähköpostiosoite tai muu digitaalinen yhteystieto ja, jos sellainen on saatavilla, verkkosivusto, jonka kautta valmistajaan saa yhteyden;
2.
keskitetty yhteyspiste, johon voi ilmoittaa ja josta saa tietoja digitaalisia elementtejä sisältävän tuotteen haavoittuvuuksista ja josta löytyvät valmistajan soveltamat koordinoitua haavoittuvuuksien julkistamista koskevat periaatteet;
3.
digitaalisia elementtejä sisältävän tuotteen nimi ja tyyppi sekä kaikki lisätiedot, joiden avulla tuote voidaan yksilöidä;
4.
digitaalisia elementtejä sisältävän tuotteen käyttötarkoitus, mukaan lukien valmistajan tarjoama tietoturvaympäristö, sekä tuotteen olennaiset toiminnot ja tiedot tietoturvaominaisuuksista;
5.
kaikki tunnetut tai ennakoitavissa olevat olosuhteet, jotka liittyvät digitaalisia elementtejä sisältävän tuotteen käyttöön sen käyttötarkoituksen mukaisesti tai kohtuudella ennakoitavissa olevissa väärinkäyttöolosuhteissa ja jotka voivat johtaa merkittäviin kyberturvallisuusriskeihin;
6.
tarvittaessa internetosoite, josta EU-vaatimustenmukaisuusvakuutus on saatavilla;
7.
valmistajan tarjoaman teknisen tietoturvatuen tyyppi ja päättymispäivä tukiajalle, jonka aikana käyttäjät voivat odottaa, että haavoittuvuudet käsitellään, ja voivat odottaa saavansa tietoturvapäivityksiä;
8.
yksityiskohtaiset ohjeet seuraavista tai internetosoite, josta yksityiskohtaiset ohjeet ovat saatavilla:
a)
tarvittavat toimenpiteet digitaalisia elementtejä sisältävän tuotteen käyttöönoton yhteydessä ja koko sen elinkaaren ajan tietoturvallisen käytön varmistamiseksi;
b)
miten digitaalisia elementtejä sisältävän tuotteen muutokset voivat vaikuttaa tietoturvaan;
c)
miten tietoturvan kannalta merkitykselliset päivitykset voidaan asentaa;
d)
digitaalisia elementtejä sisältävän tuotteen turvallinen käytöstä poistaminen, mukaan lukien ohjeet siitä, miten käyttäjätiedot voidaan tietoturvallisesti poistaa;
e)
miten liitteessä I olevan I osan 2 kohdan c alakohdassa edellytetty oletusasetus, joka mahdollistaa tietoturvapäivitysten automaattisen asennuksen, voidaan kytkeä pois päältä;
f)
jos digitaalisia elementtejä sisältävä tuote on tarkoitettu integroitavaksi toisiin digitaalisia elementtejä sisältäviin tuotteisiin, tiedot, jotka integroinnin suorittaja tarvitsee täyttääkseen liitteessä I vahvistetut olennaiset kyberturvallisuusvaatimukset ja liitteessä VII vahvistetut asiakirjoja koskevat vaatimukset;
9.
jos valmistaja päättää asettaa ohjelmistojen materiaaliluettelon käyttäjän saataville, tiedot siitä, missä ohjelmistojen materiaaliluettelo on saatavilla.
|
|
LIITE III DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄT TÄRKEÄT TUOTTEET
|
LIITE III
DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄT TÄRKEÄT TUOTTEET
Luokka I
1. Identiteetinhallintajärjestelmät ja korotettujen käyttöoikeuksien hallintaohjelmistot ja -laitteistot, mukaan lukien todennuksessa ja pääsynvalvonnassa käytettävät lukijat, myös biometriset lukijat
2. Erilliset ja sulautetut selaimet
3. Salasanojen hallinnointityökalut
4. Ohjelmistot, jotka etsivät, poistavat tai asettavat karanteeniin haittaohjelmistoja
5. Digitaalisia elementtejä sisältävät tuotteet, jotka liittyvät virtuaalisen yksityisverkon (VPN) luomiseen
6. Verkonhallintajärjestelmät
7. Tietoturvatietojen ja tapahtumien hallintajärjestelmät (SIEM)
9. Julkisen avaimen infrastruktuuri ja digitaalisen varmenteen luomiseen käytettävät ohjelmistot
10. Fyysiset ja virtuaaliset verkkorajapinnat
12. Reitittimet, internetyhteyden muodostamiseen tarkoitetut modeemit sekä kytkimet
13. Mikroprosessorit, joissa on turvallisuustoimintoja
14. Mikro-ohjaimet, joissa on turvallisuustoimintoja
15. Sovelluskohtaiset integroidut piirit (ASIC) ja kenttäohjelmoitavat porttimatriisit (FPGA), joissa on turvallisuustoimintoja
16. Älykodin yleiskäyttöiset virtuaaliavustajat
17. Älykodin tuotteet, joissa on turvallisuustoimintoja, mukaan lukien ovien älylukot, turvakamerat, itkuhälyttimet ja hälytysjärjestelmät
18. Euroopan parlamentin ja neuvoston direktiivin 2009/48/EY (
4
) soveltamisalaan kuuluvat verkkoon liitetyt lelut, joissa on vuorovaikutustoimintoja (esimerkiksi puhe tai kuvaaminen) tai paikannustoimintoja
19. Henkilökohtaiset puettavat tuotteet, joita pidetään yllä tai jotka sijoitetaan ihmiskeholle ja joita käytetään terveyden monitorointiin (kuten seurantaan) ja joihin ei sovelleta asetusta (EU) 2017/745 tai (EU) 2017/746, tai henkilökohtaiset puettavat tuotteet, jotka on tarkoitettu lasten käyttöön ja käytettäväksi lapsilla
Luokka II
1. Virtualisointialustat ja konttien ajonaikaiset järjestelmät, jotka tukevat käyttöjärjestelmien ja vastaavien ympäristöjen virtualisoitua ajoa
2. Palomuurit ja tunkeutumisen havaitsemis- ja estojärjestelmät
3. Väärinkäytöltä suojatut mikroprosessorit
4. Väärinkäytöltä suojatut mikro-ohjaimet
|
|
LIITE IV DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄT KRIITTISET TUOTTEET
|
LIITE IV
DIGITAALISIA ELEMENTTEJÄ SISÄLTÄVÄT KRIITTISET TUOTTEET
1. Fyysiset laitteet, joissa on peukaloinnilta suojaavia turvamekanismeja
2. Älymittareiden yhdyskäytävät Euroopan parlamentin ja neuvoston direktiivin (EU) 2019/944 (
5
) 2 artiklan 23 alakohdassa määritellyissä älykkäissä mittausjärjestelmissä ja muut kehittyneisiin turvallisuustarkoituksiin, myös kryptolaskentaan, käytettävät laitteet
3. Älykortit tai vastaavat laitteet, mukaan lukien turvaelementit
|
|
LIITE V EU-VAATIMUSTENMUKAISUUSVAKUUTUS
|
LIITE V
EU-VAATIMUSTENMUKAISUUSVAKUUTUS
Tämän asetuksen 28 artiklassa tarkoitetun EU-vaatimustenmukaisuusvakuutuksen on sisällettävä kaikki seuraavat tiedot:
1.
Digitaalisia elementtejä sisältävän tuotteen nimi ja tyyppi sekä kaikki lisätiedot, joiden avulla tuote voidaan yksilöidä
2.
Valmistajan tai valmistajan valtuutetun edustajan nimi ja osoite
3.
Ilmoitus siitä, että EU-vaatimustenmukaisuusvakuutus on annettu antajan yksinomaisella vastuulla
4.
Vakuutuksen kohde (jäljitettävyyden mahdollistava digitaalisia elementtejä sisältävän tuotteen tunniste, joka voi tarvittaessa sisältää valokuvan)
5.
Lausuma siitä, että edellä kuvattu vakuutuksen kohde on asiaa koskevan unionin yhdenmukaistamislainsäädännön vaatimusten mukainen
6.
Viittaukset käytettyihin asiaankuuluviin yhdenmukaistettuihin standardeihin tai muihin yhteisiin eritelmiin tai kyberturvallisuussertifiointeihin, joiden suhteen vaatimustenmukaisuusvakuutus on annettu
7.
Tarvittaessa ilmoitetun laitoksen nimi ja tunnusnumero, kuvaus suoritetusta vaatimustenmukaisuuden arviointimenettelystä sekä annetun todistuksen tunniste
8.
Lisätiedot:
Allekirjoitettu seuraavan puolesta:
(antamispaikka ja -päivämäärä):
(nimi, tehtävä) (allekirjoitus):
|
|
LIITE VI YKSINKERTAISTETTU EU-VAATIMUSTENMUKAISUUSVAKUUTUS
|
LIITE VI
YKSINKERTAISTETTU EU-VAATIMUSTENMUKAISUUSVAKUUTUS
Tämän asetuksen 13 artiklan 20 kohdassa tarkoitettu yksinkertaistettu EU-vaatimustenmukaisuusvakuutus on annettava seuraavasti:
… [valmistajan nimi] vakuuttaa, että digitaalisia elementtejä sisältävä tuote … [digitaalisia elementtejä sisältävän tuotteen tyypin kuvaus] täyttää asetuksen (EU) 2024/2847 vaatimukset. (
6
). EU-vaatimustenmukaisuusvakuutuksen koko teksti on saatavilla seuraavassa internetosoitteessa: …
|
|
LIITE VII TEKNISTEN ASIAKIRJOJEN SISÄLTÖ
|
LIITE VII
TEKNISTEN ASIAKIRJOJEN SISÄLTÖ
Tämän asetuksen 31 artiklassa tarkoitettuihin teknisiin asiakirjoihin on sisällyttävä soveltuvin osin vähintään seuraavat tiedot kyseisestä digitaalisia elementtejä sisältävästä tuotteesta:
1.
Digitaalisia elementtejä sisältävän tuotteen yleinen kuvaus, mukaan lukien
b)
niiden ohjelmistojen versiot, joilla on vaikutusta olennaisten kyberturvallisuusvaatimusten täyttymiseen;
c)
jos digitaalisia elementtejä sisältävä tuote on laite, valokuvat tai kaaviot ulkoisista piirteistä, merkinnöistä ja sisäisestä rakenteesta;
d)
liitteessä II esitetyt käyttäjälle annettavat tiedot ja ohjeet.
2.
Kuvaus digitaalisia elementtejä sisältävän tuotteen suunnittelusta, kehittämisestä ja tuotannosta sekä haavoittuvuuksien käsittelyprosesseista, mukaan lukien
a)
tarvittavat tiedot digitaalisia elementtejä sisältävän tuotteen suunnittelusta ja kehittämisestä, mukaan lukien tarvittaessa piirustukset ja kaaviot ja kuvaus järjestelmäarkkitehtuurista, jossa selitetään, miten ohjelmistokomponentit rakentuvat toisilleen tai vaikuttavat toisiinsa ja miten ne on integroitu kokonaisprosessointiin;
b)
tarvittavat tiedot ja eritelmät valmistajan käyttöön ottamista haavoittuvuuksien käsittelyprosesseista, mukaan lukien ohjelmistojen materiaaliluettelo, koordinoitua haavoittuvuuksien julkistamista koskevat periaatteet, todisteet yhteysosoitteen antamisesta haavoittuvuuksista ilmoittamista varten ja kuvaus teknisistä ratkaisuista, jotka on valittu päivitysten suojattua jakelua varten;
c)
tarvittavat tiedot ja eritelmät, jotka koskevat digitaalisia elementtejä sisältävän tuotteen tuotanto- ja seurantaprosesseja ja kyseisten prosessien validointia.
3.
Arvio kyberturvallisuusriskeistä, joiden torjumiseksi digitaalisia elementtejä sisältävä tuote on suunniteltu, kehitetty, tuotettu, toimitettu ja otettu ylläpidettäväksi 13 artiklan mukaisesti, myös siitä, miten liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ovat sovellettavissa.
4.
Asiaankuuluvat tiedot, jotka on otettu huomioon digitaalisia elementtejä sisältävän tuotteen 13 artiklan 8 kohdan mukaisen tukiajan määrittämisessä.
5.
Luettelo kokonaan tai osittain sovellettavista yhdenmukaistetuista standardeista, joiden viitetiedot on julkaistu Euroopan unionin virallisessa lehdessä, tämän asetuksen 27 artiklassa tarkoitetuista yhteisistä eritelmistä tai tämän asetuksen 27 artiklan 8 kohdassa tarkoitetuista asetuksen (EU) 2019/881 nojalla hyväksytyistä eurooppalaisista kyberturvallisuuden sertifiointijärjestelmistä, ja jos kyseisiä yhdenmukaistettuja standardeja, yhteisiä eritelmiä tai eurooppalaisia kyberturvallisuuden sertifiointijärjestelmiä ei ole sovellettu, kuvaukset ratkaisuista, jotka on valittu liitteessä I olevissa I ja II osassa vahvistettujen olennaisten kyberturvallisuusvaatimusten täyttämiseksi, mukaan lukien luettelo sovellettavista muista asiaankuuluvista teknisistä eritelmistä. Osittain sovellettavien yhdenmukaistettujen standardien, yhteisten eritelmien tai eurooppalaisten kyberturvallisuuden sertifiointijärjestelmien tapauksessa teknisissä asiakirjoissa on täsmennettävä osat, joita on sovellettu.
6.
Raportit testeistä, jotka on tehty sen varmistamiseksi, että digitaalisia elementtejä sisältävät tuotteet ja haavoittuvuuksien käsittelyprosessit täyttävät sovellettavat liitteessä I olevissa I ja II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset.
7.
Jäljennös EU-vaatimustenmukaisuusvakuutuksesta.
8.
Tarvittaessa ohjelmistojen materiaaliluettelo markkinavalvontaviranomaisen perustellusta pyynnöstä edellyttäen, että se on tarpeen, jotta kyseinen viranomainen voi tarkastaa, että liitteessä I vahvistetut olennaiset kyberturvallisuusvaatimukset täyttyvät.
|
|
LIITE VIII VAATIMUSTENMUKAISUUDEN ARVIOINTIMENETTELYT
|
LIITE VIII
VAATIMUSTENMUKAISUUDEN ARVIOINTIMENETTELYT
I osa Sisäiseen valvontaan perustuva vaatimustenmukaisuuden arviointimenettely (perustuen moduuliin A)
1. Sisäinen valvonta on vaatimustenmukaisuuden arviointimenettely, jossa valmistaja täyttää tämän osan 2, 3 ja 4 kohdassa vahvistetut velvoitteet sekä varmistaa ja vakuuttaa yksinomaisella vastuullaan, että digitaalisia elementtejä sisältävät tuotteet täyttävät kaikki liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ja että valmistaja täyttää liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset.
2. Valmistajan on laadittava liitteessä VII kuvatut tekniset asiakirjat.
3. Digitaalisia elementtejä sisältävien tuotteiden suunnittelu, kehittäminen, tuotanto ja haavoittuvuuksien käsittely
Valmistajan on toteutettava kaikki tarvittavat toimenpiteet sen varmistamiseksi, että suunnittelu-, kehitys- ja tuotantoprosesseilla ja haavoittuvuuksien käsittelyprosesseilla sekä niiden valvonnalla varmistetaan, että valmistetut tai kehitetyt digitaalisia elementtejä sisältävät tuotteet ja valmistajan käyttöön ottamat prosessit täyttävät liitteessä I olevissa I ja II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset.
4. CE-merkintä ja vaatimustenmukaisuusvakuutus
4.1 Valmistajan on kiinnitettävä CE-merkintä kuhunkin yksittäiseen digitaalisia elementtejä sisältävään tuotteeseen, joka täyttää tässä asetuksessa vahvistetut sovellettavat vaatimukset.
4.2 Valmistajan on laadittava kirjallinen EU-vaatimustenmukaisuusvakuutus kullekin digitaalisia elementtejä sisältävälle tuotteelle 28 artiklan mukaisesti ja pidettävä se yhdessä teknisten asiakirjojen kanssa kansallisten viranomaisten saatavilla kymmenen vuoden ajan sen jälkeen, kun digitaalisia elementtejä sisältävä tuote on saatettu markkinoille, tai tukiajan ajan sen mukaan, kumpi näistä ajanjaksoista on pidempi. EU-vaatimustenmukaisuusvakuutuksessa on yksilöitävä digitaalisia elementtejä sisältävä tuote, jota varten se on laadittu. Jäljennös EU-vaatimustenmukaisuusvakuutuksesta on pyynnöstä toimitettava asiaankuuluville viranomaisille.
Valmistajan valtuutettu edustaja voi täyttää valmistajan puolesta ja tämän vastuulla 4 kohdassa esitetyt valmistajan velvollisuudet edellyttäen, että asiaankuuluvat velvollisuudet on eritelty toimeksiannossa.
II osa EU-tyyppitarkastus (perustuen moduuliin B)
1. EU-tyyppitarkastus on se vaatimustenmukaisuuden arviointimenettelyn osa, jossa ilmoitettu laitos tutkii digitaalisia elementtejä sisältävän tuotteen teknisen suunnittelun ja kehittämistavan sekä valmistajan käyttöön ottamat haavoittuvuuksien käsittelyprosessit ja todistaa, että digitaalisia elementtejä sisältävä tuote täyttää liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ja että valmistaja täyttää liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset.
2. EU-tyyppitarkastuksessa tehdään digitaalisia elementtejä sisältävän tuotteen teknisen suunnittelun ja kehittämistavan asianmukaisuuden arviointi 3 kohdassa tarkoitettujen teknisten asiakirjojen ja niitä tukevan aineiston tarkastelun perusteella sekä tuotteen yhden tai useamman kriittisen osan näytteiden tarkastus (tuotantotyypin ja suunnittelutyypin yhdistelmä).
3. Valmistaja tekee EU-tyyppitarkastusta koskevan hakemuksen yhdelle valitsemalleen ilmoitetulle laitokselle.
Hakemuksen on sisällettävä:
3.1
valmistajan nimi ja osoite sekä valtuutetun edustajan nimi ja osoite, jos tämä tekee hakemuksen;
3.2
kirjallinen vakuutus siitä, että samaa hakemusta ei ole tehty toiselle ilmoitetulle laitokselle;
3.3
tekniset asiakirjat, joiden perusteella on voitava arvioida, täyttääkö digitaalisia elementtejä sisältävä tuote liitteessä I olevassa I osassa vahvistetut sovellettavat olennaiset kyberturvallisuusvaatimukset ja täyttävätkö valmistajan käyttämät haavoittuvuuksien käsittelyprosessit liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset, ja niihin on sisällyttävä asianmukainen analyysi ja arviointi riskeistä. Teknisissä asiakirjoissa on täsmennettävä sovellettavat vaatimukset, ja niiden on katettava digitaalisia elementtejä sisältävän tuotteen suunnittelu, valmistus ja toiminta siinä määrin kuin se on olennaista arvioinnin kannalta. Teknisten asiakirjojen on kaikissa soveltuvissa tapauksissa sisällettävä ainakin liitteessä VII esitetyt tekijät;
3.4
teknisten suunnittelu- ja kehitysratkaisujen ja haavoittuvuuksien käsittelyprosessien riittävyyttä tukeva näyttö. Tässä aineistossa on mainittava kaikki asiaankuuluvat asiakirjat, joita on käytetty, erityisesti siinä tapauksessa, että asiaankuuluvia yhdenmukaistettuja standardeja tai teknisiä eritelmiä ei ole sovellettu kokonaisuudessaan. Aineistoon on sisällytettävä tarvittaessa niiden testien tulokset, jotka valmistaja on tehnyt asianmukaisessa laboratoriossaan tai jotka on teetetty valmistajan puolesta ja tämän vastuulla jossain toisessa testilaboratoriossa.
4. Ilmoitetun laitoksen on:
4.1
tutkittava tekniset asiakirjat ja niitä tukeva aineisto sen arvioimiseksi, täyttääkö digitaalisia elementtejä sisältävän tuotteen tekninen suunnittelu ja kehittäminen liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ja täyttävätkö valmistajan käyttöön ottamat haavoittuvuuksien käsittelyprosessit liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset;
4.2
varmennettava, että näytteet on kehitetty tai valmistettu teknisten asiakirjojen mukaisesti, sekä yksilöitävä ne osat, jotka on suunniteltu ja kehitetty asiaa koskevien yhdenmukaistettujen standardien tai teknisten eritelmien sovellettavien määräysten mukaisesti, samoin kuin osat, joiden suunnittelussa ja kehittämisessä ei ole noudatettu näiden standardien asiaa koskevia vaatimuksia;
4.3
tehtävä tai teetettävä asianmukaiset tarkastukset ja testit sen todentamiseksi, että ratkaisuja on sovellettu oikein silloin, kun valmistaja on valinnut asiaa koskevissa yhdenmukaistetuissa standardeissa tai teknisissä eritelmissä esitettyjen ratkaisujen soveltamisen liitteessä I vahvistettujen vaatimusten täyttämiseksi;
4.4
tehtävä tai teetettävä asianmukaiset tarkastukset ja testit sen todentamiseksi, täyttävätkö valmistajan soveltamat ratkaisut vastaavat olennaiset vaatimukset silloin, kun asiaa koskevissa yhdenmukaistetuissa standardeissa tai teknisissä eritelmissä esitettyjä ratkaisuja ei ole sovellettu liitteessä I vahvistettujen olennaisten kyberturvallisuusvaatimusten täyttämiseksi;
4.5
sovittava valmistajan kanssa paikka, jossa tarkastukset ja tarvittavat testit tehdään.
5. Ilmoitetun laitoksen on laadittava arviointiraportti, johon kirjataan 4 kohdan mukaisesti toteutetut toimet ja niiden tulokset. Ilmoitettu laitos voi julkistaa raportin sisällön joko kokonaan tai osittain ainoastaan valmistajan suostumuksella, sanotun kuitenkaan rajoittamatta sen velvoitteita ilmoittamisesta vastaavia viranomaisia kohtaan.
6. Jos tyyppi ja haavoittuvuuksien käsittelyprosessit täyttävät liitteessä I vahvistetut olennaiset kyberturvallisuusvaatimukset, ilmoitetun laitoksen on annettava valmistajalle EU-tyyppitarkastustodistus. Todistuksessa on oltava valmistajan nimi ja osoite, tarkastuksessa tehdyt päätelmät, (mahdolliset) todistuksen voimassaolon edellytykset ja hyväksyttyjen tyypin ja haavoittuvuuksien käsittelyprosessien tunnistamiseen tarvittavat tiedot. Todistuksessa voi olla yksi tai useampi liite.
Todistuksessa ja sen liitteissä on oltava kaikki asiaankuuluvat tiedot, jotta voidaan arvioida, ovatko valmistetut tai kehitetyt digitaalisia elementtejä sisältävät tuotteet tarkastettujen tyypin ja haavoittuvuuksien käsittelyprosessien mukaisia, ja jotta käytön aikainen valvonta on mahdollista.
Jos tyyppi ja haavoittuvuuksien käsittelyprosessi eivät täytä liitteessä I vahvistettuja sovellettavia olennaisia kyberturvallisuusvaatimuksia, ilmoitetun laitoksen on kieltäydyttävä antamasta EU-tyyppitarkastustodistusta ja ilmoitettava siitä hakijalle sekä esitettävä yksityiskohtaiset perustelut todistuksen epäämiselle.
7. Ilmoitetun laitoksen on pysyttävä ajan tasalla yleisesti tunnustetussa uusimmassa tekniikassa mahdollisesti tapahtuvista muutoksista, jotka viittaavat siihen, että hyväksytty tyyppi ja haavoittuvuuksien käsittelyprosessit eivät ehkä enää täytä liitteessä I vahvistettuja sovellettavia olennaisia kyberturvallisuusvaatimuksia, ja määritettävä, edellyttävätkö tällaiset muutokset lisätutkimuksia. Jos näin on, ilmoitetun laitoksen on ilmoitettava asiasta valmistajalle.
Valmistajan on ilmoitettava ilmoitetulle laitokselle, joka pitää hallussaan EU-tyyppitarkastustodistusta koskevia teknisiä asiakirjoja, kaikista hyväksyttyyn tyyppiin tai haavoittuvuuksien käsittelyprosesseihin tehdyistä muutoksista, jotka voivat vaikuttaa siihen, täyttyvätkö liitteessä I vahvistetut olennaiset kyberturvallisuusvaatimukset, tai voivat vaikuttaa todistuksen voimassaolon edellytyksiin. Tällaiset muutokset vaativat lisähyväksynnän, joka annetaan alkuperäiseen EU-tyyppitarkastustodistukseen tehtävän lisäyksen muodossa.
8. Ilmoitetun laitoksen on tehtävä määräajoin auditointeja varmistaakseen, että liitteessä I olevassa II osassa esitetyt haavoittuvuuksien käsittelyprosessit toteutetaan asianmukaisesti.
9. Kunkin ilmoitetun laitoksen on annettava ilmoittamisesta vastaavalle viranomaiselleen tiedoksi EU-tyyppitarkastustodistukset ja niiden lisäykset, jotka se on antanut tai peruuttanut kokonaan, ja sen on asetettava säännöllisesti tai pyynnöstä ilmoittamisesta vastaavan viranomaisensa saataville luettelo todistuksista ja niiden lisäyksistä, jotka on evätty tai peruutettu toistaiseksi tai joita on muutoin rajoitettu.
Kunkin ilmoitetun laitoksen on annettava muille ilmoitetuille laitoksille tiedoksi EU-tyyppitarkastustodistukset ja niiden lisäykset, jotka se on evännyt tai peruuttanut kokonaan tai toistaiseksi tai joita se on muutoin rajoittanut, sekä pyynnöstä ne todistukset ja niiden lisäykset, jotka se on antanut.
Komissio, jäsenvaltiot ja muut ilmoitetut laitokset voivat pyynnöstä saada jäljennöksen EU-tyyppitarkastustodistuksista ja niihin mahdollisesti tehdyistä lisäyksistä. Komissio ja jäsenvaltiot voivat pyynnöstä saada jäljennöksen teknisistä asiakirjoista ja ilmoitetun laitoksen suorittamien tarkastusten tuloksista. Ilmoitetun laitoksen on säilytettävä jäljennös EU-tyyppitarkastustodistuksesta, sen liitteistä ja lisäyksistä sekä teknisistä asiakirjoista, valmistajan toimittamat asiakirjat mukaan luettuina, todistuksen voimassaolon päättymiseen saakka.
10. Valmistajan on pidettävä kansallisten viranomaisten saatavilla jäljennös EU-tyyppitarkastustodistuksesta, sen liitteistä ja lisäyksistä sekä tekniset asiakirjat kymmenen vuoden ajan sen jälkeen, kun digitaalisia elementtejä sisältävä tuote on saatettu markkinoille, tai tukiajan ajan sen mukaan, kumpi näistä ajanjaksoista on pidempi.
11. Valmistajan valtuutettu edustaja voi tehdä 3 kohdassa tarkoitetun hakemuksen ja täyttää 7 ja 10 kohdassa vahvistetut velvollisuudet edellyttäen, että asiaankuuluvat velvollisuudet on eritelty toimeksiannossa.
III osa Sisäiseen tuotannonvalvontaan perustuva tyypinmukaisuus (perustuen moduuliin C)
1. Sisäiseen tuotannonvalvontaan perustuva tyypinmukaisuus on vaatimustenmukaisuuden arviointimenettelyn osa, jossa valmistaja täyttää tämän osan 2 ja 3 kohdassa vahvistetut velvollisuudet sekä varmistaa ja vakuuttaa, että kyseiset digitaalisia elementtejä sisältävät tuotteet ovat EU-tyyppitarkastustodistuksessa kuvatun tyypin mukaisia ja täyttävät liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ja että valmistaja täyttää liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset.
Valmistajan on toteutettava kaikki tarvittavat toimenpiteet sen varmistamiseksi, että tuotannolla ja sen valvonnalla taataan, että valmistettu digitaalisia elementtejä sisältävä tuote on EU-tyyppitarkastustodistuksessa kuvaillun hyväksytyn tyypin ja liitteessä I olevassa I osassa vahvistettujen olennaisten kyberturvallisuusvaatimusten mukainen, ja että valmistaja täyttää liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset.
3. CE-merkintä ja vaatimustenmukaisuusvakuutus
3.1
Valmistajan on kiinnitettävä CE-merkintä kuhunkin yksittäiseen digitaalisia elementtejä sisältävään tuotteeseen, joka on EU-tyyppitarkastustodistuksessa kuvatun tyypin mukainen ja täyttää sovellettavat tässä asetuksessa vahvistetut vaatimukset.
3.2
Valmistajan on laadittava kirjallinen vaatimustenmukaisuusvakuutus tuotemallille ja pidettävä se kansallisten viranomaisten saatavilla kymmenen vuoden ajan sen jälkeen, kun digitaalisia elementtejä sisältävä tuote on saatettu markkinoille, tai tukiajan ajan sen mukaan, kumpi näistä ajanjaksoista on pidempi. Vaatimustenmukaisuusvakuutuksessa on yksilöitävä tuotemalli, jota varten se on laadittu. Vaatimustenmukaisuusvakuutuksen jäljennös on toimitettava pyynnöstä asiaankuuluville viranomaisille.
Valmistajan valtuutettu edustaja voi täyttää valmistajan puolesta ja tämän vastuulla 3 kohdassa esitetyt valmistajan velvollisuudet edellyttäen, että asiaankuuluvat velvollisuudet on eritelty toimeksiannossa.
IV osa Täydelliseen laadunvarmistukseen perustuva vaatimustenmukaisuus (perustuen moduuliin H)
1. Täydelliseen laadunvarmistukseen perustuva vaatimustenmukaisuus on vaatimustenmukaisuuden arviointimenettely, jossa valmistaja täyttää tämän osan 2 ja 5 kohdassa vahvistetut velvollisuudet sekä varmistaa ja vakuuttaa yksinomaisella vastuullaan, että kyseiset digitaalisia elementtejä sisältävät tuotteet tai tuoteryhmät täyttävät liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ja että valmistajan käyttöön ottamat haavoittuvuuksien käsittelyprosessit täyttävät liitteessä I olevassa II osassa vahvistetut vaatimukset.
2. Digitaalisia elementtejä sisältävien tuotteiden suunnittelu, kehittäminen, tuotanto ja haavoittuvuuksien käsittely
Valmistajan on sovellettava 3 kohdan mukaista hyväksyttyä laatujärjestelmää digitaalisia elementtejä sisältävien tuotteiden suunnittelussa, kehittämisessä ja tuotteen lopputarkastuksessa ja testauksessa sekä haavoittuvuuksien käsittelyssä sekä ylläpidettävä järjestelmän tehokkuutta koko tukiajan ajan, ja sen on oltava 4 kohdan mukaisen valvonnan alainen.
3.1
Valmistajan on tehtävä kyseisten digitaalisia elementtejä sisältävien tuotteiden osalta käyttämänsä laatujärjestelmän arviointia koskeva hakemus valitsemalleen ilmoitetulle laitokselle.
Hakemuksen on sisällettävä:
a)
valmistajan nimi ja osoite sekä valtuutetun edustajan nimi ja osoite, jos tämä tekee hakemuksen;
b)
tekniset asiakirjat yhdestä mallista kutakin valmistettavaksi tai kehitettäväksi kaavailtujen digitaalisia elementtejä sisältävien tuotteiden ryhmää kohti. Teknisten asiakirjojen on kaikissa soveltuvissa tapauksissa sisällettävä ainakin liitteessä VII esitetyt tekijät;
c)
laatujärjestelmää koskevat asiakirjat; ja
d)
kirjallinen vakuutus siitä, että samaa hakemusta ei ole tehty toiselle ilmoitetulle laitokselle.
3.2
Laatujärjestelmän on varmistettava, että digitaalisia elementtejä sisältävät tuotteet täyttävät liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset ja että valmistajan käyttöön ottamat haavoittuvuuksien käsittelyprosessit täyttävät liitteessä I olevassa II osassa vahvistetut vaatimukset.
Kaikki valmistajan käyttöön ottamat tekijät, vaatimukset ja määräykset on kirjattava järjestelmällisesti ja täsmällisesti kirjallisiksi ohjelmiksi, menettelyiksi ja ohjeiksi. Kyseisten laatujärjestelmää koskevien asiakirjojen avulla on voitava tulkita yhdenmukaisesti laatuohjelmia, suunnitelmia, käsikirjoja ja tallenteita.
Niissä on erityisesti oltava riittävä kuvaus seuraavista:
a)
laatutavoitteet ja organisaation rakenne, johdon vastuualueet ja toimivalta suunnittelun, kehittämisen, tuotteiden laadun ja haavoittuvuuksien käsittelyn osalta;
b)
sovellettavat tekniset suunnittelu- ja kehityseritelmät, standardit mukaan lukien, ja jos asiaa koskevia yhdenmukaistettuja standardeja tai teknisiä eritelmiä ei noudateta kaikilta osin, käytettävät keinot, joilla varmistetaan, että kyseisiin digitaalisia elementtejä sisältäviin tuotteisiin sovellettavat liitteessä I olevassa I osassa vahvistetut olennaiset kyberturvallisuusvaatimukset täyttyvät;
c)
sovellettavat menettelylliset eritelmät, standardit mukaan lukien, ja jos asiaa koskevia yhdenmukaistettuja standardeja tai teknisiä eritelmiä ei noudateta kaikilta osin, käytettävät keinot, joilla varmistetaan, että valmistajaan sovellettavat liitteessä I olevassa II osassa vahvistetut olennaiset kyberturvallisuusvaatimukset täyttyvät;
d)
suunnittelun ja kehittämisen valvonta, mukaan lukien suunnittelun ja kehittämistapojen todentamistekniikat, menetelmät ja järjestelmälliset toimenpiteet, joita käytetään kyseiseen tuoteryhmään kuuluvien digitaalisia elementtejä sisältävien tuotteiden suunnittelussa ja kehittämisessä;
e)
vastaavat tuotannossa sekä laadunvalvonnassa ja -varmistuksessa käytettävät tekniikat, menetelmät ja järjestelmälliset toimenpiteet;
f)
ennen tuotantoa, tuotannon aikana ja sen jälkeen tehtävät tarkastukset ja testit sekä niiden suoritustiheys;
g)
laatupöytäkirjat, kuten tarkastusraportit ja testaus- ja kalibrointitiedot sekä asianomaisen henkilöstön pätevyyteen liittyvät selvitykset;
h)
keinot, joilla valvotaan tuotteilta ja suunnittelulta vaaditun laadun toteutumista ja laatujärjestelmän toiminnan tehokkuutta.
3.3
Ilmoitetun laitoksen on arvioitava laatujärjestelmä määrittääkseen, täyttääkö se 3.2 kohdassa tarkoitetut vaatimukset.
Ilmoitetun laitoksen on oletettava, että laatujärjestelmän osat, joissa noudatetaan asiaa koskevan yhdenmukaistetun standardin tai teknisen eritelmän käyttöönottamiseksi annetun kansallisen standardin vastaavia eritelmiä, ovat näiden vaatimusten mukaisia.
Sen lisäksi, että auditointiryhmällä on oltava kokemusta laadunhallintajärjestelmistä, ryhmässä on oltava vähintään yksi jäsen, jolla on kokemusta kyseisen tuotealan ja tuoteteknologian arvioimisesta, ja sen on tunnettava tässä asetuksessa vahvistetut sovellettavat vaatimukset. Auditointiin on sisällyttävä tarkastuskäynti valmistajan toimitiloihin, jos sellaisia on. Auditointiryhmän on tarkastettava 3.1 kohdan b alakohdassa tarkoitetut tekniset asiakirjat sen varmistamiseksi, että valmistaja kykenee yksilöimään tässä asetuksessa vahvistetut sovellettavat vaatimukset ja suorittamaan tarvittavat tutkimukset, joiden tarkoituksena on varmistaa, että digitaalisia elementtejä sisältävä tuote on näiden vaatimusten mukainen.
Päätöksestä on ilmoitettava valmistajalle tai tämän valtuutetulle edustajalle.
Ilmoitukseen on sisällyttävä auditoinnin päätelmät ja perusteltu arviointipäätös.
3.4
Valmistaja sitoutuu täyttämään laatujärjestelmästä, sellaisena kuin se on hyväksytty, johtuvat velvollisuudet ja ylläpitämään laatujärjestelmää niin, että se pysyy riittävänä ja tehokkaana.
3.5
Valmistajan on ilmoitettava laatujärjestelmän hyväksyneelle ilmoitetulle laitokselle kaikista laatujärjestelmään suunnitelluista muutoksista.
Ilmoitetun laitoksen on arvioitava ehdotetut muutokset ja päätettävä, täyttääkö muutettu laatujärjestelmä edelleen 3.2 kohdassa tarkoitetut vaatimukset vai onko tarpeen suorittaa uusi arviointi.
Sen on ilmoitettava päätöksestään valmistajalle. Ilmoitukseen on sisällyttävä selvityksen päätelmät ja arviointipäätöksen perustelut.
4. Ilmoitetun laitoksen vastuulla oleva valvonta
4.1
Valvonnan tarkoituksena on varmistaa, että valmistaja täyttää hyväksytystä laatujärjestelmästä aiheutuvat velvollisuutensa asianmukaisesti.
4.2
Valmistajan on sallittava ilmoitetulle laitokselle arviointitarkoituksia varten pääsy suunnittelu-, kehitys-, tuotanto-, tarkastus-, testaus- ja varastotiloihin sekä annettava sille kaikki tarvittavat tiedot, erityisesti
a)
laatujärjestelmää koskevat asiakirjat;
b)
laatujärjestelmän suunnittelua koskevaan osaan liittyvät laatupöytäkirjat, kuten tutkimusten, laskelmien ja testien tulokset,
c)
laatujärjestelmän valmistusta koskevaan osaan liittyvät laatupöytäkirjat, kuten tarkastusraportit ja testaus- ja kalibrointitiedot sekä asianomaisen henkilöstön pätevyyteen liittyvät selvitykset.
4.3
Ilmoitetun laitoksen on tehtävä määräajoin auditointeja varmistaakseen, että valmistaja ylläpitää ja noudattaa laatujärjestelmää, ja toimitettava auditointiraportti valmistajalle.
5. CE-merkintä ja vaatimustenmukaisuusvakuutus
5.1
Valmistajan on kiinnitettävä CE-merkintä sekä 3.1 kohdassa tarkoitetun ilmoitetun laitoksen vastuulla kyseisen laitoksen tunnusnumero kuhunkin yksittäiseen digitaalisia elementtejä sisältävään tuotteeseen, joka täyttää liitteessä I olevassa I osassa vahvistetut vaatimukset.
5.2
Valmistajan on laadittava kirjallinen vaatimustenmukaisuusvakuutus kullekin tuotemallille ja pidettävä se kansallisten viranomaisten saatavilla kymmenen vuoden ajan sen jälkeen, kun digitaalisia elementtejä sisältävä tuote on saatettu markkinoille, tai tukiajan ajan sen mukaan, kumpi näistä ajanjaksoista on pidempi. Vaatimustenmukaisuusvakuutuksessa on yksilöitävä tuotemalli, jota varten se on laadittu.
Vaatimustenmukaisuusvakuutuksen jäljennös on toimitettava pyynnöstä asiaankuuluville viranomaisille.
6. Valmistajan on vähintään kymmenen vuoden ajan sen jälkeen, kun digitaalisia elementtejä sisältävä tuote on saatettu markkinoille, tai tukiajan ajan sen mukaan, kumpi näistä ajanjaksoista on pidempi, pidettävä kansallisten viranomaisten saatavilla:
a)
edellä 3.1 kohdassa tarkoitetut tekniset asiakirjat;
b)
edellä 3.1 kohdassa tarkoitetut laatujärjestelmää koskevat asiakirjat;
c)
edellä 3.5 kohdassa tarkoitetut muutokset, sellaisina kuin ne on hyväksytty;
d)
edellä 3.5 ja 4.3 kohdassa tarkoitetut ilmoitetun laitoksen päätökset ja raportit.
7. Kunkin ilmoitetun laitoksen on annettava ilmoittamisesta vastaavalle viranomaiselleen tiedoksi myönnetyt ja kokonaan peruutetut laatujärjestelmien hyväksynnät, ja sen on asetettava säännöllisesti tai pyynnöstä ilmoittamisesta vastaavan viranomaisensa saataville luettelo laatujärjestelmien hyväksynnöistä, jotka on evätty tai peruutettu toistaiseksi tai joita on muutoin rajoitettu.
Kunkin ilmoitetun laitoksen on annettava muille ilmoitetuille laitoksille tiedoksi laatujärjestelmien hyväksynnät, jotka se on evännyt tai peruuttanut toistaiseksi tai kokonaan, sekä pyynnöstä laatujärjestelmien hyväksynnät, jotka se on antanut.
Valmistajan valtuutettu edustaja voi täyttää valmistajan puolesta ja valmistajan vastuulla 3.1, 3.5, 5 ja 6 kohdassa säädetyt valmistajan velvollisuudet sillä edellytyksellä, että asiaankuuluvat velvollisuudet on eritelty toimeksiannossa.
Tämän säädöksen osalta on annettu lausuma, joka on saatavilla virallisessa lehdessä EUVL C, 2024/6786, 20.11.2024 ja seuraavasta linkistä ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Viittaukset
1.2 Tunnistetut vaatimukset
1.3 Liittyvät standardit
2. Tunnistetut vaatimukset
Vaatimukset
| Lähde |
Vaatimus |
3. Liittyvät standardit
Standardit
| Lähde |
Vaatimus |
Linkitetyt tehtävät
|