+NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2024/2847 ze dne 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti) (Text s významem pro EHP)
---+KAPITOLA I OBECNÁ USTANOVENÍ
------+Článek 1 Předmět
------+Článek 2 Oblast působnosti
---------+Článek 2 1.
---------+Článek 2 2.
---------+Článek 2 3.
---------+Článek 2 4.
---------+Článek 2 5.
---------+Článek 2 6.
---------+Článek 2 7.
---------+Článek 2 8.
------+Článek 3 Definice
------+Článek 4 Volný pohyb
---------+Článek 4 1.
---------+Článek 4 2.
---------+Článek 4 3.
---------+Článek 4 4.
------+Článek 5 Zadávání zakázek na produkty s digitálními prvky nebo používání těchto produktů
---------+Článek 5 1.
---------+Článek 5 2.
------+Článek 6 Požadavky na produkty s digitálními prvky
------+Článek 7 Důležité produkty s digitálními prvky
---------+Článek 7 1.
---------+Článek 7 2.
---------+Článek 7 3.
---------+Článek 7 4.
------+Článek 8 Kritické produkty s digitálními prvky
---------+Článek 8 1.
---------+Článek 8 2.
------+Článek 9 Konzultace se zúčastněnými stranami
---------+Článek 9 1.
---------+Článek 9 2.
------+Článek 10 Prohloubení dovedností v oblasti kyberneticky odolného digitálního prostředí
------+Článek 11 Obecná bezpečnost produktů
------+Článek 12 Vysoce rizikové systémy umělé inteligence
---------+Článek 12 1.
---------+Článek 12 2.
---------+Článek 12 3.
---------+Článek 12 4.
---+KAPITOLA II POVINNOSTI HOSPODÁŘSKÝCH SUBJEKTŮ A USTANOVENÍ SOUVISEJÍCÍ SE SVOBODNÝM SOFTWAREM S OTEVŘENÝM ZDROJOVÝM Kódem
------+Článek 13 Povinnosti výrobců
---------+Článek 13 1.
---------+Článek 13 2.
---------+Článek 13 3.
---------+Článek 13 4.
---------+Článek 13 5.
---------+Článek 13 6.
---------+Článek 13 7.
---------+Článek 13 8.
---------+Článek 13 9.
---------+Článek 13 10.
---------+Článek 13 11.
---------+Článek 13 12.
---------+Článek 13 13.
---------+Článek 13 14.
---------+Článek 13 15.
---------+Článek 13 16.
---------+Článek 13 17.
---------+Článek 13 18.
---------+Článek 13 19.
---------+Článek 13 20.
---------+Článek 13 21.
---------+Článek 13 22.
---------+Článek 13 23.
---------+Článek 13 24.
---------+Článek 13 25.
------+Článek 14 Povinnosti výrobců podávat zprávy
---------+Článek 14 1.
---------+Článek 14 2.
---------+Článek 14 3.
---------+Článek 14 4.
---------+Článek 14 5.
---------+Článek 14 6.
---------+Článek 14 7.
---------+Článek 14 8.
---------+Článek 14 9.
---------+Článek 14 10.
------+Článek 15 Dobrovolné podávání zpráv
---------+Článek 15 1.
---------+Článek 15 2.
---------+Článek 15 3.
---------+Článek 15 4.
---------+Článek 15 5.
------+Článek 16 Zřízení jednotné platformy pro podávání zpráv
---------+Článek 16 1.
---------+Článek 16 2.
---------+Článek 16 3.
---------+Článek 16 4.
---------+Článek 16 5.
---------+Článek 16 6.
------+Článek 17 Další ustanovení týkající se podávání zpráv
---------+Článek 17 1.
---------+Článek 17 2.
---------+Článek 17 3.
---------+Článek 17 4.
---------+Článek 17 5.
---------+Článek 17 6.
------+Článek 18 Zplnomocnění zástupci
---------+Článek 18 1.
---------+Článek 18 2.
---------+Článek 18 3.
------+Článek 19 Povinnosti dovozců
---------+Článek 19 1.
---------+Článek 19 2.
---------+Článek 19 3.
---------+Článek 19 4.
---------+Článek 19 5.
---------+Článek 19 6.
---------+Článek 19 7.
---------+Článek 19 8.
------+Článek 20 Povinnosti distributorů
---------+Článek 20 1.
---------+Článek 20 2.
---------+Článek 20 3.
---------+Článek 20 4.
---------+Článek 20 5.
---------+Článek 20 6.
------+Článek 21 Případy, kdy se povinnosti výrobců vztahují na dovozce a distributory
------+Článek 22 Ostatní případy, na něž se vztahují povinnosti výrobců
---------+Článek 22 1.
---------+Článek 22 2.
------+Článek 23 Identifikace hospodářských subjektů
---------+Článek 23 1.
---------+Článek 23 2.
------+Článek 24 Povinnosti správců softwaru s otevřeným zdrojovým kódem
---------+Článek 24 1.
---------+Článek 24 2.
---------+Článek 24 3.
------+Článek 25 Potvrzení o bezpečnosti svobodného softwaru s otevřeným zdrojovým kódem
------+Článek 26 Pokyny
---------+Článek 26 1.
---------+Článek 26 2.
---------+Článek 26 3.
---+KAPITOLA III SHODA PRODUKTU S DIGITÁLNÍMI PRVKY
------+Článek 27 Předpoklad shody
---------+Článek 27 1.
---------+Článek 27 2.
---------+Článek 27 3.
---------+Článek 27 4.
---------+Článek 27 5.
---------+Článek 27 6.
---------+Článek 27 7.
---------+Článek 27 8.
---------+Článek 27 9.
------+Článek 28 EU prohlášení o shodě
---------+Článek 28 1.
---------+Článek 28 2.
---------+Článek 28 3.
---------+Článek 28 4.
---------+Článek 28 5.
------+Článek 29 Obecné zásady, kterými se řídí označení CE
------+Článek 30 Pravidla a podmínky pro umístění označení CE
---------+Článek 30 1.
---------+Článek 30 2.
---------+Článek 30 3.
---------+Článek 30 4.
---------+Článek 30 5.
---------+Článek 30 6.
------+Článek 31 Technická dokumentace
---------+Článek 31 1.
---------+Článek 31 2.
---------+Článek 31 3.
---------+Článek 31 4.
---------+Článek 31 5.
------+Článek 32 Postupy posuzování shody u produktů s digitálními prvky
---------+Článek 32 1.
---------+Článek 32 2.
---------+Článek 32 3.
---------+Článek 32 4.
---------+Článek 32 5.
---------+Článek 32 6.
------+Článek 33 Podpůrná opatření pro mikropodniky a malé a střední podniky, včetně začínajících podniků
---------+Článek 33 1.
---------+Článek 33 2.
---------+Článek 33 3.
---------+Článek 33 4.
---------+Článek 33 5.
------+Článek 34 Dohody o vzájemném uznávání
---+KAPITOLA IV OZNAMOVÁNÍ SUBJEKTŮ POSUZOVÁNÍ SHODY
------+Článek 35 Oznámení
---------+Článek 35 1.
---------+Článek 35 2.
------+Článek 36 Oznamující orgány
---------+Článek 36 1.
---------+Článek 36 2.
---------+Článek 36 3.
---------+Článek 36 4.
------+Článek 37 Požadavky týkající se oznamujících orgánů
---------+Článek 37 1.
---------+Článek 37 2.
---------+Článek 37 3.
---------+Článek 37 4.
---------+Článek 37 5.
---------+Článek 37 6.
------+Článek 38 Informační povinnost oznamujících orgánů
---------+Článek 38 1.
---------+Článek 38 2.
------+Článek 39 Požadavky týkající se oznámených subjektů
---------+Článek 39 1.
---------+Článek 39 2.
---------+Článek 39 3.
---------+Článek 39 4.
---------+Článek 39 5.
---------+Článek 39 6.
---------+Článek 39 7.
---------+Článek 39 8.
---------+Článek 39 9.
---------+Článek 39 10.
---------+Článek 39 11.
---------+Článek 39 12.
------+Článek 40 Předpoklad shody oznámených subjektů
------+Článek 41 Dceřiné společnosti oznámených subjektů a zadávání subdodávek
---------+Článek 41 1.
---------+Článek 41 2.
---------+Článek 41 3.
---------+Článek 41 4.
------+Článek 42 Žádost o oznámení
---------+Článek 42 1.
---------+Článek 42 2.
---------+Článek 42 3.
------+Článek 43 Postup oznamování
---------+Článek 43 1.
---------+Článek 43 2.
---------+Článek 43 3.
---------+Článek 43 4.
---------+Článek 43 5.
---------+Článek 43 6.
------+Článek 44 Identifikační čísla a seznamy oznámených subjektů
---------+Článek 44 1.
---------+Článek 44 2.
------+Článek 45 Změny v oznámeních
---------+Článek 45 1.
---------+Článek 45 2.
------+Článek 46 Zpochybnění způsobilosti oznámených subjektů
---------+Článek 46 1.
---------+Článek 46 2.
---------+Článek 46 3.
---------+Článek 46 4.
------+Článek 47 Povinnosti týkající se činnosti oznámených subjektů
---------+Článek 47 1.
---------+Článek 47 2.
---------+Článek 47 3.
---------+Článek 47 4.
---------+Článek 47 5.
---------+Článek 47 6.
------+Článek 48 Odvolání proti rozhodnutí oznámených subjektů
------+Článek 49 Informační povinnost oznámených subjektů
---------+Článek 49 1.
---------+Článek 49 2.
------+Článek 50 Výměna zkušeností
------+Článek 51 Koordinace oznámených subjektů
---------+Článek 51 1.
---------+Článek 51 2.
---+KAPITOLA V DOZOR NAD TRHEM A VYMÁHÁNÍ PRÁVA
------+Článek 52 Dozor nad trhem a kontrola produktů s digitálními prvky na trhu Unie
---------+Článek 52 1.
---------+Článek 52 2.
---------+Článek 52 3.
---------+Článek 52 4.
---------+Článek 52 5.
---------+Článek 52 6.
---------+Článek 52 7.
---------+Článek 52 8.
---------+Článek 52 9.
---------+Článek 52 10.
---------+Článek 52 11.
---------+Článek 52 12.
---------+Článek 52 13.
---------+Článek 52 14.
---------+Článek 52 15.
---------+Článek 52 16.
------+Článek 53 Přístup k údajům a dokumentaci
------+Článek 54 Postup na vnitrostátní úrovni týkající se produktů s digitálními prvky představujících významné kybernetické bezpečnostní riziko
---------+Článek 54 1.
---------+Článek 54 2.
---------+Článek 54 3.
---------+Článek 54 4.
---------+Článek 54 5.
---------+Článek 54 6.
---------+Článek 54 7.
---------+Článek 54 8.
---------+Článek 54 9.
------+Článek 55 Ochranný postup Unie
---------+Článek 55 1.
---------+Článek 55 2.
---------+Článek 55 3.
---------+Článek 55 4.
---------+Článek 55 5.
------+Článek 56 Postup na úrovni Unie týkající se produktů s digitálními prvky představujících významné kybernetické bezpečnostní riziko
---------+Článek 56 1.
---------+Článek 56 2.
---------+Článek 56 3.
---------+Článek 56 4.
---------+Článek 56 5.
---------+Článek 56 6.
---------+Článek 56 7.
------+Článek 57 Vyhovující produkty s digitálními prvky, které představují významné kybernetické bezpečnostní riziko
---------+Článek 57 1.
---------+Článek 57 2.
---------+Článek 57 3.
---------+Článek 57 4.
---------+Článek 57 5.
---------+Článek 57 6.
---------+Článek 57 7.
---------+Článek 57 8.
---------+Článek 57 9.
---------+Článek 57 10.
---------+Článek 57 11.
------+Článek 58 Formální nesoulad
---------+Článek 58 1.
---------+Článek 58 2.
------+Článek 59 Společné činnosti orgánů dozoru nad trhem
---------+Článek 59 1.
---------+Článek 59 2.
---------+Článek 59 3.
---------+Článek 59 4.
---------+Článek 59 5.
------+Článek 60 Společné kontrolní akce
---------+Článek 60 1.
---------+Článek 60 2.
---------+Článek 60 3.
---------+Článek 60 4.
---------+Článek 60 5.
---+KAPITOLA VI PŘENESENÉ PRAVOMOCI A POSTUP PROJEDNÁVÁNÍ VE VÝBORU
------+Článek 61 Výkon přenesení pravomoci
---------+Článek 61 1.
---------+Článek 61 2.
---------+Článek 61 3.
---------+Článek 61 4.
---------+Článek 61 5.
---------+Článek 61 6.
------+Článek 62 Postup projednávání ve výboru
---------+Článek 62 1.
---------+Článek 62 2.
---------+Článek 62 3.
---+KAPITOLA VII DŮVĚRNOST A SANKCE
------+Článek 63 Zachování důvěrnosti
---------+Článek 63 1.
---------+Článek 63 2.
---------+Článek 63 3.
---------+Článek 63 4.
------+Článek 64 Sankce
---------+Článek 64 1.
---------+Článek 64 2.
---------+Článek 64 3.
---------+Článek 64 4.
---------+Článek 64 5.
---------+Článek 64 6.
---------+Článek 64 7.
---------+Článek 64 8.
---------+Článek 64 9.
---------+Článek 64 10.
------+Článek 65 Zástupné žaloby
---+KAPITOLA VIII PŘECHODNÁ A ZÁVĚREČNÁ USTANOVENÍ
------+Článek 66 Změna nařízení (EU) 2019/1020
------+Článek 67 Změna směrnice (EU) 2020/1828
------+Článek 68 Změna nařízení (EU) č. 168/2013
------+Článek 69 Přechodná ustanovení
---------+Článek 69 1.
---------+Článek 69 2.
---------+Článek 69 3.
------+Článek 70 Hodnocení a přezkum
---------+Článek 70 1.
---------+Článek 70 2.
------+Článek 71 Vstup v platnost a použitelnost
---------+Článek 71 1.
---------+Článek 71 2.
---+PŘÍLOHA I ZÁKLADNÍ POŽADAVKY NA KYBERNETICKOU BEZPEČNOST
---+PŘÍLOHA II INFORMACE A POKYNY PRO UŽIVATELE
---+PŘÍLOHA III DŮLEŽITÉ PRODUKTY S DIGITÁLNÍMI PRVKY
---+PŘÍLOHA IV KRITICKÉ PRODUKTY S DIGITÁLNÍMI PRVKY
---+PŘÍLOHA V EU PROHLÁŠENÍ O SHODĚ
---+PŘÍLOHA VI ZJEDNODUŠENÉ EU PROHLÁŠENÍ O SHODĚ
---+PŘÍLOHA VII OBSAH TECHNICKÉ DOKUMENTACE
---+PŘÍLOHA VIII POSTUPY POSUZOVÁNÍ SHODY
|
English -
European Union -
NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2024/2847 ze dne 23. října 2024 o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti) (Text s významem pro EHP)
NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) 2024/2847
ze dne 23. října 2024
o horizontálních požadavcích na kybernetickou bezpečnost produktů s digitálními prvky a o změně nařízení (EU) č. 168/2013 a (EU) 2019/1020 a směrnice (EU) 2020/1828 (akt o kybernetické odolnosti)
(Text s významem pro EHP)
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
1. Přehled
| Název |
Regulace |
|
KAPITOLA I OBECNÁ USTANOVENÍ
|
KAPITOLA I OBECNÁ USTANOVENÍ
|
|
KAPITOLA II POVINNOSTI HOSPODÁŘSKÝCH SUBJEKTŮ A USTANOVENÍ SOUVISEJÍCÍ SE SVOBODNÝM SOFTWAREM S OTEVŘENÝM ZDROJOVÝM Kódem
|
KAPITOLA II POVINNOSTI HOSPODÁŘSKÝCH SUBJEKTŮ A USTANOVENÍ SOUVISEJÍCÍ SE SVOBODNÝM SOFTWAREM S OTEVŘENÝM ZDROJOVÝM Kódem
|
|
KAPITOLA III SHODA PRODUKTU S DIGITÁLNÍMI PRVKY
|
KAPITOLA III SHODA PRODUKTU S DIGITÁLNÍMI PRVKY
|
|
KAPITOLA IV OZNAMOVÁNÍ SUBJEKTŮ POSUZOVÁNÍ SHODY
|
KAPITOLA IV OZNAMOVÁNÍ SUBJEKTŮ POSUZOVÁNÍ SHODY
|
|
KAPITOLA V DOZOR NAD TRHEM A VYMÁHÁNÍ PRÁVA
|
KAPITOLA V DOZOR NAD TRHEM A VYMÁHÁNÍ PRÁVA
|
|
KAPITOLA VI PŘENESENÉ PRAVOMOCI A POSTUP PROJEDNÁVÁNÍ VE VÝBORU
|
KAPITOLA VI PŘENESENÉ PRAVOMOCI A POSTUP PROJEDNÁVÁNÍ VE VÝBORU
|
|
KAPITOLA VII DŮVĚRNOST A SANKCE
|
KAPITOLA VII DŮVĚRNOST A SANKCE
|
|
KAPITOLA VIII PŘECHODNÁ A ZÁVĚREČNÁ USTANOVENÍ
|
KAPITOLA VIII PŘECHODNÁ A ZÁVĚREČNÁ USTANOVENÍ
|
|
PŘÍLOHA I ZÁKLADNÍ POŽADAVKY NA KYBERNETICKOU BEZPEČNOST
|
PŘÍLOHA I
ZÁKLADNÍ POŽADAVKY NA KYBERNETICKOU BEZPEČNOST
Část I Požadavky na kybernetickou bezpečnost týkající se vlastností produktů s digitálními prvky
1) Produkty s digitálními prvky musí být navrženy, vyvinuty a vyrobeny tak, aby zajišťovaly odpovídající úroveň kybernetické bezpečnosti zohledňující rizika.
2) na základě posouzení kybernetického bezpečnostního rizika podle čl. 13 odst. 2 jsou v příslušných případech produkty s digitálními prvky:
a)
dodávány na trh bez známých zneužitelných zranitelností,
b)
dodávány na trh v konfiguraci zabezpečené na úrovni standardního nastavení, pokud se výrobce nedohodne s podnikatelským uživatelem v souvislosti s produktem s digitálními prvky uzpůsobeným na míru jinak, včetně možnosti obnovit produkt do původního stavu,
c)
zajišťují, aby bylo možné řešit zranitelnosti prostřednictvím bezpečnostních aktualizací, a automatických bezpečnostních aktualizací tam, kde je to možné, které lze v přiměřeném časovém rámci nainstalovat jako výchozí nastavení, s jasným a snadno použitelným mechanismem výjimky, a to prostřednictvím oznamování dostupných aktualizací uživatelům a možnosti je dočasně odložit,
d)
zajišťují ochranu před neoprávněným přístupem vhodnými kontrolními mechanismy, mimo jiné na základě systémů správy ověřování, identity nebo přístupu, a podávají zprávy o možném neoprávněném přístupu,
e)
chrání důvěrnost uchovávaných, předávaných nebo jinak zpracovávaných údajů, ať již osobních či jiných, například šifrováním příslušných uložených nebo přenášených údajů prostřednictvím nejmodernějších mechanismů a za pomoci jiných technických prostředků,
f)
chrání integritu uchovávaných, předávaných nebo jinak zpracovávaných údajů, osobních či jiných údajů, příkazů, programů a konfigurace před jakoukoli manipulací nebo změnou, které uživatel nepovolil, a podávají zprávy o poškození,
g)
zpracovávají pouze osobní nebo jiné údaje, které jsou přiměřené, relevantní a omezené na to, co je nezbytné ve vztahu k zamýšlenému účelu produktu s digitálními prvky („minimalizace údajů“),
h)
chrání dostupnost základních a klíčových funkcí, a to i po incidentu, prostřednictvím opatření ke zvýšení odolnosti vůči útokům, jejichž důsledkem je odepření služby, a opatření ke zmírňování těchto útoků,
i)
minimalizují svůj vlastní nepříznivý dopad nebo dopad připojených zařízení na dostupnost služeb poskytovaných jinými zařízeními nebo sítěmi,
j)
jsou navrženy, vyvinuty a vyrobeny tak, aby omezily prostory k útoku, včetně vnějších rozhraní,
k)
jsou navrženy, vyvinuty a vyrobeny tak, aby se snížil dopad incidentu použitím vhodných mechanismů a technik zmírňujících zneužití,
l)
poskytují informace související s bezpečností tím, že zaznamenávají a kontrolují příslušnou interní činnost, včetně přístupu k údajům, službám nebo funkcím či jejich změn, s možností využít mechanismus výjimky pro uživatele,
m)
poskytují uživatelům možnost bezpečně a snadno natrvalo odstranit všechny údaje a nastavení, a pokud mohou být tyto údaje přeneseny do jiných produktů nebo systémů, zajišťují, aby se tak stalo bezpečným způsobem.
Část II Požadavky na řešení zranitelností
Výrobci produktů s digitálními prvky:
1)
určí a zdokumentují zranitelnosti a komponenty obsažené v produktech s digitálními prvky, mj. na základě vypracování softwarového kusovníku (SBOM) v běžně používaném strojově čitelném formátu, který obsahuje přinejmenším nejdůležitější závislosti produktu,
2)
v souvislosti s riziky, která pro produkty s digitálními prvky představují, neprodleně řeší a odstraňují zranitelnosti, mj. na základě poskytování bezpečnostních aktualizací; v případě, že je to technicky možné, jsou bezpečnostní aktualizace poskytovány odděleně od funkčních aktualizací,
3)
provádějí účinné a pravidelné testy a pravidelný přezkum bezpečnosti produktu s digitálními prvky,
4)
po zveřejnění bezpečnostní aktualizace poskytují a uveřejňují informace o opravených zranitelnostech, včetně popisu těchto zranitelností, informací umožňujících uživatelům zjistit dotčený produkt s digitálními prvky, dopadu zranitelností, jejich závažnosti a jasných a přístupných informací, které uživatelům pomáhají tyto zranitelnosti odstranit; v řádně odůvodněných případech, pokud se výrobci domnívají, že bezpečnostní rizika spojená se zveřejněním převažují nad bezpečnostními přínosy, mohou oddálit zveřejnění informací týkajících se opravy zranitelností až do doby, kdy budou mít uživatelé možnost příslušnou opravu použít,
5)
zavádějí a prosazují politiku koordinovaného zveřejňování zranitelností,
6)
přijímají opatření ke snadnějšímu sdílení informací o možných zranitelnostech svého produktu s digitálními prvky a o komponentách třetích stran obsažených v daném produktu, mimo jiné poskytnutím kontaktní adresy pro oznamování zranitelností zjištěných v produktu s digitálními prvky,
7)
stanovují mechanismy pro bezpečnou distribuci aktualizací produktů s digitálními prvky s cílem zajistit, že zranitelnosti budou včas opraveny nebo zmírněny, a že se tak bude u bezpečnostních aktualizací dít automaticky, je-li to možné,
8)
zajišťují, aby v případě, že jsou k dispozici bezpečnostní aktualizace pro řešení zjištěných bezpečnostních problémů, byly neprodleně, a pokud neexistuje jiná dohoda mezi výrobcem a podnikatelským uživatelem s ohledem na produkt s digitálními prvky zhotovený na zakázku, bezplatně šířeny spolu s poradními zprávami, které uživatelům poskytují relevantní informace, včetně informací o možných opatřeních, jež je třeba přijmout.
|
|
PŘÍLOHA II INFORMACE A POKYNY PRO UŽIVATELE
|
PŘÍLOHA II
INFORMACE A POKYNY PRO UŽIVATELE
K produktu s digitálními prvky musejí být přiloženy alespoň následující informace:
1.
jméno, zapsaný obchodní název nebo zapsaná ochranná známka výrobce, poštovní a e-mailová adresa nebo jiný digitální kontakt a případně internetová stránka, na níž lze výrobce kontaktovat,
2.
jednotné kontaktní místo, kde lze oznámit a obdržet informace o zranitelnostech produktu s digitálními prvky a kde lze nalézt výrobcovu politiku koordinovaného zveřejňování zranitelností,
3.
název a typ a veškeré další informace umožňující jedinečnou identifikaci produktu s digitálními prvky,
4.
zamýšlený účel produktu s digitálními prvky, včetně bezpečnostního prostředí poskytovaného výrobcem, jakož i základní funkce produktu a informace o jeho bezpečnostních vlastnostech,
5.
jakékoli známé nebo předvídatelné okolnosti související s používáním produktu s digitálními prvky v souladu s jeho zamýšleným účelem nebo za podmínek rozumně předvídatelného nesprávného použití, které mohou vést k významným kybernetickým bezpečnostním rizikům,
6.
případně internetová adresa, na níž je možné získat přístup k EU prohlášení o shodě,
7.
druh technické bezpečnostní podpory, kterou výrobce nabízí, a datum skončení doby podpory, během níž uživatelé mohou očekávat, že budou řešeny zranitelnosti a že obdrží bezpečnostní aktualizace;
8.
podrobné pokyny nebo internetová adresa odkazující na tyto podrobné pokyny a informace:
a)
o nezbytných opatřeních během počátečního uvedení produktu s digitálními prvky do provozu a po celou dobu jeho životnosti, aby bylo zajištěno jeho bezpečné používání,
b)
o tom, jak mohou změny produktu s digitálními prvky ovlivnit bezpečnost údajů,
c)
o tom, jak lze nainstalovat bezpečnostní aktualizace,
d)
o bezpečném vyřazení produktu s digitálními prvky z provozu, včetně informací o tom, jak lze bezpečně odstranit údaje o uživatelích,
e)
o tom, jak lze vypnout standardní nastavení umožňující automatickou instalaci bezpečnostních aktualizací, jak se požaduje v příloze I části I písm. c),
f)
v případě, že je produkt s digitálními prvky určen k zabudování do jiných produktů s digitálními prvky, informace, které potřebuje ten, kdo produkt kompletuje, k tomu, aby mohl dodržet základní požadavky na kybernetickou bezpečnost stanovené v příloze I a požadavky na dokumentaci stanovené v příloze VII,
9.
rozhodne-li se výrobce, že uživateli zpřístupní softwarový kusovník, informace o tom, kde k němu lze získat přístup.
|
|
PŘÍLOHA III DŮLEŽITÉ PRODUKTY S DIGITÁLNÍMI PRVKY
|
PŘÍLOHA III
DŮLEŽITÉ PRODUKTY S DIGITÁLNÍMI PRVKY
Třída I
1. Software pro systémy správy identity a pro správu privilegovaného přístupu a hardware, včetně čtečky k ověřování totožnosti a ke kontrole přístupu, mj. biometrické čtečky
2. samostatné a vestavěné prohlížeče
4. software, který vyhledává škodlivé programy, odstraňuje je nebo je dává do karantény
5. produkty s digitálními prvky s funkcí virtuální soukromé sítě (VPN)
7. systémy řízení bezpečnostních informací a událostí
9. infrastruktura veřejných klíčů a software k vydávání digitálních certifikátů
10. fyzická a virtuální síťová rozhraní
12. směrovače, modemy určené pro připojení k internetu a přepínače
13. mikroprocesory s bezpečnostními funkcemi
14. mikrořadiče s bezpečnostními funkcemi
15. aplikačně specifické integrované obvody (ASIC) a programovatelná hradlová pole (FPGA) s bezpečnostními funkcemi
16. obecní virtuální asistenti pro chytré domácnosti
17. produkty pro chytré domácnosti s bezpečnostními funkcemi, včetně chytrých dveřních zámků, bezpečnostních kamer, systémů pro monitorování dětí a poplašných systémů
18. hračky připojené k internetu, na které se vztahuje směrnice Evropského parlamentu a Rady 2009/48/ES (
4
) a které mají sociální interaktivní funkce (např. k mluvení nebo natáčení) nebo funkce ke sledování polohy
19. osobní výrobky k nošení, které se nosí nebo umísťují na lidské tělo, jejichž účelem je sledovat zdravotní stav a na něž se nevztahuje nařízení (EU) 2017/745 ani (EU) 2017/746, nebo osobní výrobky k nošení, které jsou určeny pro děti a k používání u dětí
Třída II
1. hypervizory a systémy runtime kontejnerů, které podporují virtualizované provedení operačních systémů a podobných prostředí
2. firewally, systémy detekce narušení a prevence
3. mikroprocesory odolné proti manipulaci
4. mikrořadiče odolné proti manipulaci
|
|
PŘÍLOHA IV KRITICKÉ PRODUKTY S DIGITÁLNÍMI PRVKY
|
PŘÍLOHA IV
KRITICKÉ PRODUKTY S DIGITÁLNÍMI PRVKY
1. Hardwarová zařízení s bezpečnostními schránkami
2. přístroje (EU) Smart meter gateway v rámci inteligentních měřicích systémů vymezených v čl. 2 bodu 23 směrnice Evropského parlamentu a Rady (EU) 2019/944 (
5
) a další přístroje pro účely zajištění větší bezpečnosti, mj. pro bezpečné přijímání plateb v kryptoměně
3. čipové karty nebo podobná zařízení, včetně zabezpečených prvků
|
|
PŘÍLOHA V EU PROHLÁŠENÍ O SHODĚ
|
PŘÍLOHA V
EU PROHLÁŠENÍ O SHODĚ
EU prohlášení o shodě podle článku 28 obsahuje všechny tyto informace:
1.
název a druh a veškeré další informace umožňující jedinečnou identifikaci produktu s digitálními prvky
2.
jméno a adresu výrobce nebo jeho zplnomocněného zástupce
3.
uvedení skutečnosti, že EU prohlášení o shodě se vydává na výhradní odpovědnost poskytovatele
4.
předmět prohlášení (identifikace produktu s digitálními prvky umožňující jej zpětně vysledovat, která může v případě potřeby obsahovat fotografii)
5.
konstatování, že předmět výše popsaného prohlášení je ve shodě s příslušnými harmonizačními právními předpisy Unie
6.
odkazy na veškeré příslušné harmonizované normy, které byly použity, nebo na veškeré další společné specifikace či certifikace kybernetické bezpečnosti, v souvislosti s nimiž se shoda prohlašuje
7.
tam, kde je to relevantní, název a číslo oznámeného subjektu, popis postupu posuzování shody a identifikace vydaného certifikátu
8.
další informace:
Podepsáno za a jménem:
(místo a datum vydání):
(jméno, funkce) (podpis):
|
|
PŘÍLOHA VI ZJEDNODUŠENÉ EU PROHLÁŠENÍ O SHODĚ
|
PŘÍLOHA VI
ZJEDNODUŠENÉ EU PROHLÁŠENÍ O SHODĚ
Zjednodušené EU prohlášení o shodě uvedené v čl. 13 odst. 20 se předkládá v této formě:
… [Název/jméno výrobce] tímto prohlašuje, že typ produktu s digitálními prvky … [uvedení typu produktu s digitálními prvky] je v souladu s nařízením (EU) 2024/2847 (
6
). Úplné znění EU prohlášení o shodě je dostupné na této internetové adrese: …
|
|
PŘÍLOHA VII OBSAH TECHNICKÉ DOKUMENTACE
|
PŘÍLOHA VII
OBSAH TECHNICKÉ DOKUMENTACE
Technická dokumentace podle 31 obsahuje alespoň tyto informace, které se vztahují na příslušný produkt s digitálními prvky:
1.
všeobecný popis produktu s digitálními prvky, včetně:
b)
verzí softwaru, které mají vliv na soulad se základními požadavky na kybernetickou bezpečnost,
c)
fotografií nebo ilustrací, které zobrazují vnější znaky, označení a vnitřní uspořádání, pokud je produkt s digitálními prvky hardwarovým produktem,
d)
informací a pokynů pro uživatele, jak je uvedeno v příloze II,
2.
popis návrhu, vývoje a výroby produktu s digitálními prvky a postupů řešení zranitelností, včetně:
a)
nezbytných informací o návrhu a vývoji produktu s digitálními prvky, případně včetně výkresů a schémat a popisu architektury systému s vysvětlením, jakým způsobem na sebe komponenty softwaru vzájemně navazují nebo jak jsou do sebe začleněny a integrovány do celkového zpracování,
b)
nezbytných informací a specifikací postupů při řešení zranitelností zavedených výrobcem, včetně softwarového kusovníku, politiky koordinovaného zveřejňování zranitelností, důkazů o poskytnutí kontaktní adresy pro podávání zpráv o zranitelnostech a popisu technických řešení zvolených pro bezpečnou distribuci aktualizací,
c)
nezbytných informací a specifikací postupů výroby a monitorování produktu s digitálními prvky a ověření těchto postupů,
3.
posouzení kybernetických bezpečnostních rizik, na ochranu před nimiž je produkt s digitálními prvky navrhován, vyvíjen, vyráběn, dodáván a udržován, podle článku 13, včetně toho, jak se uplatní základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I,
4.
příslušné informace, které byly vzaty v úvahu při stanovení doby podpory produktu s digitálními prvky, podle čl. 13 odst. 8,
5.
seznam harmonizovaných norem, které byly zcela nebo zčásti použity a na které byly zveřejněny odkazy v Úředním věstníku Evropské unie, společných specifikací stanovených v článku 27 tohoto nařízení nebo evropských schémat certifikace kybernetické bezpečnosti přijatých podle nařízení (EU) 2019/881 v souladu s čl. 27 odst. 8 tohoto nařízení, a pokud tyto harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti použity nebyly, popis řešení zvolených ke splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I, části I a II včetně seznamu jiných příslušných technických specifikací, jež byly použity. V případě částečně použitých harmonizovaných norem, společných specifikací nebo evropských schémat certifikace kybernetické bezpečnosti se v technické dokumentaci uvedou ty části, jež byly použity,
6.
protokoly o zkouškách provedených za účelem ověření shody produktu s digitálními prvky a postupů při řešení zranitelností s příslušnými základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a II,
7.
kopie EU prohlášení o shodě,
8.
případně softwarový kusovník na základě odůvodněné žádosti orgánu dozoru nad trhem za předpokladu, že je to nezbytné k tomu, aby tento orgán mohl ověřit soulad se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I.
|
|
PŘÍLOHA VIII POSTUPY POSUZOVÁNÍ SHODY
|
PŘÍLOHA VIII
POSTUPY POSUZOVÁNÍ SHODY
Část I Postup posuzování shody založený na interní kontrole (na základě modulu A)
1. Interní kontrola je postupem posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2, 3 a 4 této části a na vlastní odpovědnost zaručuje a prohlašuje, že produkty s digitálními prvky splňují všechny základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.
2. Výrobce vypracuje technickou dokumentaci podle přílohy VII.
3. Návrh, vývoj, výroba a řešení zranitelností produktů s digitálními prvky
Výrobce přijme veškerá nezbytná opatření, aby postupy pro návrh, vývoj, výrobu a řešení zranitelností a jejich monitorování zajišťovaly soulad vyráběných nebo vyvíjených produktů s digitálními prvky a postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a II.
4. Označení shody a prohlášení o shodě
4.1. Výrobce umístí označení CE na každý jednotlivý produkt s digitálními prvky, který splňuje příslušné požadavky stanovené v tomto nařízení.
4.2. Výrobce vypracuje pro každý produkt s digitálními prvky v souladu s článkem 28 písemné EU prohlášení o shodě a po dobu deseti let poté, co byl produkt s digitálními prvky uveden na trh, nebo po dobu trvání doby podpory, podle toho, které z těchto období je delší, je společně s technickou dokumentací uchovává, aby byly k dispozici vnitrostátním orgánům. V EU prohlášení o shodě je uveden produkt s digitálními prvky, pro nějž bylo vypracováno. Kopie EU prohlášení o shodě se na žádost poskytne příslušným orgánům.
Povinnosti výrobce stanovené v bodě 4 mohou být jeho jménem a na jeho odpovědnost splněny jeho zplnomocněným zástupcem, pokud jsou příslušné povinnosti uvedeny v pověření.
Část II EU přezkoušení typu (na základě modulu B)
1. EU přezkoušení typu je tou částí postupu posuzování shody, v níž oznámený subjekt přezkoumává technický návrh a vývoj produktu s digitálními prvky a postupy řešení zranitelností zavedené výrobcem a osvědčí, že produkt s digitálními prvky splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.
2. EU přezkoušení typu se provádí posouzením vhodnosti technického návrhu a vývoje produktu s digitálními prvky prostřednictvím přezkoumání technické dokumentace a podkladů podle bodu 3 a přezkoušením vzorků jedné nebo více kritických částí produktu (kombinace výrobního typu a konstrukčního typu).
3. Výrobce podá u jediného oznámeného subjektu, který si zvolil, žádost o EU přezkoušení typu.
Žádost obsahuje:
3.1.
jméno a adresu výrobce, a pokud žádost podává zplnomocněný zástupce, jméno a adresu tohoto zplnomocněného zástupce,
3.2.
písemné prohlášení, že stejná žádost nebyla podána u jiného oznámeného subjektu,
3.3.
technickou dokumentaci, která musí umožňovat posouzení shody produktu s digitálními prvky s příslušnými základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a postupy výrobce pro řešení zranitelností stanovenými v příloze I části II, a zahrnuje odpovídající analýzu a posouzení rizik. V technické dokumentaci musejí být uvedeny příslušné požadavky a v míře nutné pro posouzení se musí vztahovat na návrh, výrobu a fungování produktu s digitálními prvky. Technická dokumentace obsahuje v příslušných případech alespoň prvky stanovené v příloze VII,
3.4.
podklady dokládající přiměřenost technických návrhů a vývojových řešení a postupů řešení zranitelností. Tyto podklady musejí odkazovat na všechny příslušné dokumenty, které byly použity, zejména pokud příslušné harmonizované normy nebo technické specifikace nebyly použity v celém rozsahu. Podklady zahrnují v případě potřeby výsledky zkoušek provedených příslušnou laboratoří výrobce nebo jinou zkušební laboratoří jeho jménem a na jeho odpovědnost.
4.1.
přezkoumá technickou dokumentaci a podklady s cílem posoudit přiměřenost technického návrhu a vývoje produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů pro řešení zranitelností zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II;
4.2.
ověří, zda byly vzorky vyvinuty nebo vyrobeny ve shodě s technickou dokumentací, a určí prvky, které byly navrženy a vyvinuty v souladu s použitelnými ustanoveními příslušných harmonizovaných norem nebo technických specifikací, a také prvky, které byly navrženy a vyvinuty, aniž byla použita příslušná ustanovení uvedených norem;
4.3.
provede nebo nechá provést vhodná přezkoušení a zkoušky, aby ověřil, zda v případě, že výrobce zvolil pro požadavky stanovené v příloze I řešení podle příslušných harmonizovaných norem nebo technických specifikací, byly tyto normy a specifikace použity správně;
4.4.
provede nebo nechá provést příslušná přezkoušení a zkoušky, aby ověřil, zda v případě, že pro požadavky stanovené v příloze I nebyla použita řešení podle příslušných harmonizovaných norem nebo technických specifikací, splňují řešení, která výrobce použil, odpovídající základní požadavky na kybernetickou bezpečnost;
4.5.
dohodne se s výrobcem, na kterém místě budou přezkoušení a zkoušky provedeny.
5. Oznámený subjekt vypracuje zprávu o hodnocení, která zaznamená činnosti provedené podle bodu 4 a jejich výstupy. Aniž jsou dotčeny povinnosti oznámeného subjektu vůči oznamujícím orgánům, zveřejní oznámený subjekt obsah této zprávy, v celém rozsahu nebo částečně, pouze se souhlasem výrobce.
6. Pokud typ a postupy řešení zranitelností splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I, vydá oznámený subjekt výrobci certifikát o EU přezkoušení typu. Certifikát musí obsahovat jméno a adresu výrobce, závěry přezkoušení, podmínky platnosti certifikátu (existují-li) a údaje nezbytné k identifikaci schváleného typu a postupů řešení zranitelností. K certifikátu může být přiložena jedna nebo více příloh.
Certifikát a jeho přílohy obsahují všechny náležité informace umožňující vyhodnotit, zda jsou vyrobené nebo vyvinuté produkty s digitálními prvky ve shodě s přezkoušeným typem a postupy řešení zranitelností, a provést kontrolu za provozu.
Pokud typ a postupy řešení zranitelností nesplňují příslušné základní požadavky na kybernetickou bezpečnost stanovené v příloze I, oznámený subjekt odmítne vydat certifikát o EU přezkoušení typu a uvědomí o tom žadatele, přičemž odmítnutí podrobně odůvodní.
7. Oznámený subjekt dbá na to, aby byl informován o veškerých změnách obecně uznávaného stavu techniky, které by naznačovaly, že schválený typ a postupy řešení zranitelností již nemusí být v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, a rozhodne, zda tyto změny vyžadují doplňující šetření. Pokud šetření vyžadují, oznámený subjekt o tom informuje výrobce.
Výrobce informuje oznámený subjekt, který uchovává technickou dokumentaci týkající se certifikátu o EU přezkoušení typu, o veškerých změnách schváleného typu a postupech řešení zranitelností, které mohou ovlivnit shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I nebo podmínky platnosti certifikátu. Tyto změny vyžadují dodatečné schválení formou dodatku k původnímu certifikátu o EU přezkoušení typu.
8. Oznámený subjekt provádí pravidelné audity, aby zajistil příslušné uplatňování postupů řešení zranitelností, které jsou uvedeny v příloze I části II.
9. Každý oznámený subjekt informuje své oznamující orgány o certifikátech o EU přezkoušení typu nebo dodatcích k nim, které vydal nebo zrušil, a pravidelně či na žádost zpřístupní svým oznamujícím orgánům seznam certifikátů nebo dodatků k nim, které zamítl, pozastavil či jinak omezil.
Každý oznámený subjekt informuje ostatní oznámené subjekty o certifikátech o EU přezkoušení typu nebo dodatcích k nim, které zamítl, zrušil, pozastavil či jinak omezil, a na žádost také o certifikátech nebo dodatcích k nim, které vydal.
Komise, členské státy a ostatní oznámené subjekty mohou na žádost obdržet kopii certifikátů o EU přezkoušení typu a veškerých jejich dodatků. Komise a členské státy mohou na základě žádosti obdržet kopii technické dokumentace a výsledků přezkoušení provedených oznámeným subjektem. Do uplynutí doby platnosti certifikátu o EU přezkoušení typu uchovává oznámený subjekt kopii uvedeného certifikátu, jeho příloh a dodatků a také soubor technické dokumentace včetně dokumentace předložené výrobcem.
10. Po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto období je delší, uchovává výrobce pro potřebu vnitrostátních orgánů kopii certifikátu EU přezkoušení typu, jeho příloh a dodatků spolu s technickou dokumentací.
11. Zplnomocněný zástupce výrobce může podat žádost uvedenou v bodě 3 a plnit povinnosti stanovené v bodech 7 a 10 za předpokladu, že jsou uvedeny v pověření.
Část III Shoda s typem založená na interním řízení výroby (na základě modulu C)
1. Shoda s typem založená na interním řízení výroby je tou částí postupu posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2 a 3 této části a zaručuje a prohlašuje, že dané produkty s digitálními prvky jsou ve shodě s typem popsaným v certifikátu EU přezkoušení typu a splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.
Výrobce přijme veškerá nezbytná opatření, aby výroba a její kontrola zajišťovaly shodu vyráběných produktů s digitálními prvky se schváleným typem popsaným v certifikátu EU přezkoušení typu a se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I, a zajišťuje, že splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.
3. Označení shody a prohlášení o shodě
3.1.
Výrobce umístí označení CE na každý jednotlivý produkt s digitálními prvky, který je ve shodě s typem popsaným v certifikátu EU přezkoušení typu a splňuje příslušné požadavky stanovené v tomto nařízení.
3.2.
Výrobce vypracuje pro daný model produktu písemné prohlášení o shodě a po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší, je uchovává pro potřebu vnitrostátních orgánů. V prohlášení o shodě se uvede model produktu, pro nějž bylo vypracováno. Kopie prohlášení o shodě se na žádost poskytne příslušným orgánům.
Povinnosti výrobce stanovené v bodě 3 mohou být jeho jménem a na jeho odpovědnost splněny jeho zplnomocněným zástupcem, pokud jsou uvedeny v příslušném pověření.
Část IV Shoda založená na komplexním zabezpečování kvality (na základě modulu H)
1. Shoda založená na komplexním zabezpečování kvality je postupem posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2 a 5 této části a na vlastní odpovědnost zaručuje a prohlašuje, že dané produkty s digitálními prvky nebo kategorie produktů splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že postupy pro řešení zranitelností zavedené výrobcem splňují požadavky stanovené v příloze I části II.
2. Návrh, vývoj, výroba a řešení zranitelností produktů s digitálními prvky
Výrobce používá schválený systém kvality podle bodu 3 pro navrhování, vývoj a závěrečnou kontrolu a zkoušení daných produktů s digitálními prvky a pro řešení zranitelností, zachovává jeho účinnost během doby podpory a podléhá dozoru podle bodu 4.
3.1.
Výrobce podá u oznámeného subjektu, který si zvolil, žádost o posouzení svého systému kvality pro dané produkty s digitálními prvky.
Žádost obsahuje:
a)
jméno a adresu výrobce, a pokud žádost podává zplnomocněný zástupce, jméno a adresu tohoto zplnomocněného zástupce,
b)
technickou dokumentaci pro jeden model z každé kategorie produktů s digitálními prvky, které se mají vyrábět nebo vyvíjet. Technická dokumentace obsahuje v příslušných případech přinejmenším prvky stanovené v příloze VII této směrnice,
c)
dokumentaci týkající se systému kvality a
d)
písemné prohlášení, že stejná žádost nebyla podána u jiného oznámeného subjektu.
3.2.
Systém kvality zajistí shodu produktů se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů pro řešení zranitelností zavedených výrobcem s požadavky stanovenými v příloze I části II.
Všechny prvky, požadavky a předpisy používané výrobcem musejí být systematicky a uspořádaně dokumentovány ve formě písemných koncepcí, postupů a návodů. Dokumentace systému kvality musí umožňovat jednotný výklad programů, plánů, příruček a záznamů týkajících se kvality.
Dokumentace systému řízení kvality musí obsahovat zejména přiměřený popis:
a)
cílů z hlediska kvality a organizační struktury, odpovědnosti a pravomocí vedení, pokud jde o návrh, vývoj, kvalitu produktu a řešení zranitelností,
b)
technických specifikací návrhu a vývoje, včetně norem, které budou použity, a v případě, že se příslušné harmonizované normy nebo technické specifikace nepoužijí v celém rozsahu, popis prostředků, které budou použity, aby bylo zajištěno splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I části I, které se na produkty s digitálními prvky vztahují,
c)
procesních specifikací návrhu, včetně norem, které budou použity, a v případě, že se příslušné harmonizované normy nebo technické specifikace nepoužijí v celém rozsahu, popis prostředků, které budou použity, aby bylo zajištěno splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I části II, které se na výrobce vztahují,
d)
metod, postupů a systematických opatření týkajících se kontroly a ověřování návrhu, které budou použity při navrhování produktů s digitálními prvky náležejících do příslušné kategorie produktu,
e)
odpovídajících metod, postupů a systematických opatření, které budou použity při výrobě, kontrole a zabezpečování kvality,
f)
kontrol a zkoušek, které budou provedeny před výrobou, během výroby a po výrobě, s uvedením jejich četnosti,
g)
záznamů o kvalitě, například protokolů o kontrolách, výsledků zkoušek, záznamů z provedených kalibrací a zpráv o kvalifikaci příslušných pracovníků,
h)
prostředků umožňujících monitoring požadované kvality návrhu a produktu a efektivního fungováním systému kvality.
3.3.
Oznámený subjekt posoudí systém kvality s cílem určit, zda splňuje požadavky podle bodu 3.2.
U prvků systému kvality, které odpovídají příslušným specifikacím vnitrostátní normy, kterou se provádí příslušná harmonizovaná norma nebo technická specifikace, předpokládá shodu s těmito požadavky.
Auditorský tým musí mít zkušenosti se systémy řízení kvality a znalosti použitelných požadavků stanovených v tomto nařízení a alespoň jeden jeho člen musí mít zkušenosti s hodnocením příslušné oblasti produktu a technologie daného produktu. Audit zahrnuje návštěvu v provozních prostorách výrobce za účelem jejich posouzení, pokud takové prostory existují. Auditorský tým přezkoumá technickou dokumentaci uvedenou v písm. b) bodu 3.1, aby ověřil, že je výrobce schopen určit příslušné požadavky stanovené v tomto nařízení a provádět nezbytná přezkoušení, aby zajistil soulad produktu s digitálními prvky s těmito požadavky.
Rozhodnutí se oznámí výrobci nebo jeho zplnomocněnému zástupci.
Oznámení musí obsahovat závěry auditu a odůvodněné rozhodnutí o posouzení.
3.4.
Výrobce se zavazuje, že bude plnit povinnosti vyplývající ze schváleného systému kvality a že jej bude udržovat, aby byl i nadále odpovídající a účinný.
3.5.
Výrobce informuje oznámený subjekt, který schválil systém kvality, o každé zamýšlené změně tohoto systému.
Oznámený subjekt navrhované změny posoudí a rozhodne, zda změněný systém kvality bude i nadále splňovat požadavky podle bodu 3.2, nebo zda je třeba provést nové posouzení.
Oznámený subjekt oznámí své rozhodnutí výrobci. Oznámení musí obsahovat závěry kontrol a odůvodněné rozhodnutí o posouzení.
4. Dohled, za který odpovídá oznámený subjekt
4.1.
Účelem dozoru je zajistit, aby výrobce řádně plnil povinnosti vyplývající ze schváleného systému kvality.
4.2.
Za účelem posouzení umožní výrobce oznámenému subjektu přístup do prostor určených pro navrhování, vývoj, výrobu, kontrolu, zkoušky a skladování a poskytne mu veškeré potřebné informace, zejména:
a)
dokumentaci systému kvality,
b)
záznamy o kvalitě uvedené v části systému kvality týkající se navrhování, např. výsledky analýz, výpočtů a zkoušek,
c)
záznamy o kvalitě uvedené ve výrobní části systému kvality, např. protokoly o kontrolách, výsledky zkoušek, záznamy z provedených kalibrací a zprávy o kvalifikaci příslušných pracovníků.
4.3.
Oznámený subjekt provádí pravidelné audity, aby se ujistil, že výrobce udržuje a používá systém kvality, a předkládá výrobci zprávu o auditu.
5. Označení shody a prohlášení o shodě
5.1.
Výrobce umístí označení shody a na odpovědnost oznámeného subjektu uvedeného v bodě 3.1. identifikační číslo tohoto subjektu na každý jednotlivý produkt s digitálními prvky, který splňuje požadavky stanovené v příloze I části I.
5.2.
Výrobce vypracuje pro daný model produktu písemné prohlášení o shodě a po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší, je uchovává pro potřebu vnitrostátních orgánů. V prohlášení o shodě se uvede model produktu, pro nějž bylo vypracováno.
Kopie prohlášení o shodě se na žádost poskytne příslušným orgánům.
6. Výrobce uchovává pro potřebu vnitrostátních orgánů po dobu nejméně deseti let po uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší:
a)
technickou dokumentaci uvedenou v bodě 3.1,
b)
dokumentaci týkající se systému kvality uvedenou v bodě 3.1,
c)
informace o schválené změně podle bodu 3.5,
d)
rozhodnutí a zprávy oznámeného subjektu podle bodů 3.5 a 4.3.
7. Každý oznámený subjekt informuje své oznamující orgány o schváleních systému kvality, která vydal nebo zrušil, a pravidelně či na žádost zpřístupní svým oznamujícím orgánům seznam schválení systému kvality, která zamítl, pozastavil či jinak omezil.
Každý oznámený subjekt informuje ostatní oznámené subjekty o schváleních systému kvality, která zamítl, pozastavil nebo zrušil, a na žádost o schváleních systému kvality, která vydal.
Povinnosti výrobce stanovené v bodech 3.1, 3.5, 5 a 6 mohou být jeho jménem a na jeho odpovědnost plněny jeho zplnomocněným zástupcem, pokud jsou uvedeny v pověření.
K tomuto aktu bylo učiněno prohlášení, které lze nalézt v Úř. věst. C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Odkazy
1.2 Identifikované požadavky
1.3 Související standardy
2. Identifikované požadavky
Požadavky
| Zdroj |
Požadavek |
3. Související standardy
Standardy
| Zdroj |
Požadavek |
Propojené úkoly
|