+VERORDNUNG (EU) 2024/2847 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) (Text von Bedeutung für den EWR)
---+KAPITEL I ALLGEMEINE BESTIMMUNGEN
------+Artikel 1 Gegenstand
------+Artikel 2 Anwendungsbereich
---------+Article 2 1.
---------+Article 2 2.
---------+Article 2 3.
---------+Article 2 4.
---------+Article 2 5.
---------+Article 2 6.
---------+Article 2 7.
---------+Article 2 8.
------+Artikel 3 Begriffsbestimmungen
------+Artikel 4 Freier Verkehr
---------+Article 4 1.
---------+Article 4 2.
---------+Article 4 3.
---------+Article 4 4.
------+Artikel 5 Beschaffung oder Nutzung von Produkten mit digitalen Elementen
---------+Article 5 1.
---------+Article 5 2.
------+Artikel 6 Anforderungen an Produkte mit digitalen Elementen
------+Artikel 7 Wichtige Produkte mit digitalen Elementen
---------+Article 7 1.
---------+Article 7 2.
---------+Article 7 3.
---------+Article 7 4.
------+Artikel 8 Kritische Produkte mit digitalen Elementen
---------+Article 8 1.
---------+Article 8 2.
------+Artikel 9 Konsultation der Interessenträger
---------+Article 9 1.
---------+Article 9 2.
------+Artikel 10 Ausbau der Kompetenzen in einem digitalen Umfeld mit Cyberabwehrfähigkeit
------+Artikel 11 Allgemeine Produktsicherheit
------+Artikel 12 Hochrisiko-KI-Systeme
---------+Article 12 1.
---------+Article 12 2.
---------+Article 12 3.
---------+Article 12 4.
---+KAPITEL II PFLICHTEN DER WIRTSCHAFTSAKTEURE UND BESTIMMUNGEN IN BEZUG AUF FREIE UND QUELLOFFENE SOFTWARE
------+Artikel 13 Pflichten der Hersteller
---------+Article 13 1.
---------+Article 13 2.
---------+Article 13 3.
---------+Article 13 4.
---------+Article 13 5.
---------+Article 13 6.
---------+Article 13 7.
---------+Article 13 8.
---------+Article 13 9.
---------+Article 13 10.
---------+Article 13 11.
---------+Article 13 12.
---------+Article 13 13.
---------+Article 13 14.
---------+Article 13 15.
---------+Article 13 16.
---------+Article 13 17.
---------+Article 13 18.
---------+Article 13 19.
---------+Article 13 20.
---------+Article 13 21.
---------+Article 13 22.
---------+Article 13 23.
---------+Article 13 24.
---------+Article 13 25.
------+Artikel 14 Meldepflichten der Hersteller
---------+Article 14 1.
---------+Article 14 2.
---------+Article 14 3.
---------+Article 14 4.
---------+Article 14 5.
---------+Article 14 6.
---------+Article 14 7.
---------+Article 14 8.
---------+Article 14 9.
---------+Article 14 10.
------+Artikel 15 Freiwillige Meldungen
---------+Article 15 1.
---------+Article 15 2.
---------+Article 15 3.
---------+Article 15 4.
---------+Article 15 5.
------+Artikel 16 Einrichtung einer einheitlichen Meldeplattform
---------+Article 16 1.
---------+Article 16 2.
---------+Article 16 3.
---------+Article 16 4.
---------+Article 16 5.
---------+Article 16 6.
------+Artikel 17 Sonstige Bestimmungen im Zusammenhang mit der Berichterstattung
---------+Article 17 1.
---------+Article 17 2.
---------+Article 17 3.
---------+Article 17 4.
---------+Article 17 5.
---------+Article 17 6.
------+Artikel 18 Bevollmächtigte
---------+Article 18 1.
---------+Article 18 2.
---------+Article 18 3.
------+Artikel 19 Pflichten der Einführer
---------+Article 19 1.
---------+Article 19 2.
---------+Article 19 3.
---------+Article 19 4.
---------+Article 19 5.
---------+Article 19 6.
---------+Article 19 7.
---------+Article 19 8.
------+Artikel 20 Pflichten der Händler
---------+Article 20 1.
---------+Article 20 2.
---------+Article 20 3.
---------+Article 20 4.
---------+Article 20 5.
---------+Article 20 6.
------+Artikel 21 Fälle, in denen die Pflichten der Hersteller auch für Einführer und Händler gelten
------+Artikel 22 Sonstige Fälle, in denen die Pflichten der Hersteller gelten
---------+Article 22 1.
---------+Article 22 2.
------+Artikel 23 Identifizierung der Wirtschaftsakteure
---------+Article 23 1.
---------+Article 23 2.
------+Artikel 24 Pflichten der Verwalter quelloffener Software
---------+Article 24 1.
---------+Article 24 2.
---------+Article 24 3.
------+Artikel 25 Sicherheitsbescheinigung für freie und quelloffene Software
------+Artikel 26 Leitlinien
---------+Article 26 1.
---------+Article 26 2.
---------+Article 26 3.
---+KAPITEL III KONFORMITÄT DES PRODUKTS MIT DIGITALEN ELEMENTEN
------+Artikel 27 Konformitätsvermutung
---------+Article 27 1.
---------+Article 27 2.
---------+Article 27 3.
---------+Article 27 4.
---------+Article 27 5.
---------+Article 27 6.
---------+Article 27 7.
---------+Article 27 8.
---------+Article 27 9.
------+Artikel 28 EU-Konformitätserklärung
---------+Article 28 1.
---------+Article 28 2.
---------+Article 28 3.
---------+Article 28 4.
---------+Article 28 5.
------+Artikel 29 Allgemeine Grundsätze der CE-Kennzeichnung
------+Artikel 30 Vorschriften und Bedingungen für die Anbringung der CE-Kennzeichnung
---------+Article 30 1.
---------+Article 30 2.
---------+Article 30 3.
---------+Article 30 4.
---------+Article 30 5.
---------+Article 30 6.
------+Artikel 31 Technische Dokumentation
---------+Article 31 1.
---------+Article 31 2.
---------+Article 31 3.
---------+Article 31 4.
---------+Article 31 5.
------+Artikel 32 Konformitätsbewertungsverfahren für Produkte mit digitalen Elementen
---------+Article 32 1.
---------+Article 32 2.
---------+Article 32 3.
---------+Article 32 4.
---------+Article 32 5.
---------+Article 32 6.
------+Artikel 33 Unterstützungsmaßnahmen für Kleinstunternehmen sowie kleine und mittlere Unternehmen, einschließlich Start-up-Unternehmen
---------+Article 33 1.
---------+Article 33 2.
---------+Article 33 3.
---------+Article 33 4.
---------+Article 33 5.
------+Artikel 34 Abkommen über die gegenseitige Anerkennung
---+KAPITEL IV NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN
------+Artikel 35 Notifizierung
---------+Article 35 1.
---------+Article 35 2.
------+Artikel 36 Notifizierende Behörden
---------+Article 36 1.
---------+Article 36 2.
---------+Article 36 3.
---------+Article 36 4.
------+Artikel 37 Anforderungen an notifizierende Behörden
---------+Article 37 1.
---------+Article 37 2.
---------+Article 37 3.
---------+Article 37 4.
---------+Article 37 5.
---------+Article 37 6.
------+Artikel 38 Informationspflichten der notifizierenden Behörden
---------+Article 38 1.
---------+Article 38 2.
------+Artikel 39 Anforderungen an notifizierte Stellen
---------+Article 39 1.
---------+Article 39 2.
---------+Article 39 3.
---------+Article 39 4.
---------+Article 39 5.
---------+Article 39 6.
---------+Article 39 7.
---------+Article 39 8.
---------+Article 39 9.
---------+Article 39 10.
---------+Article 39 11.
---------+Article 39 12.
------+Artikel 40 Vermutung der Konformität von notifizierten Stellen
------+Artikel 41 Zweigstellen notifizierter Stellen und Vergabe von Unteraufträgen durch notifizierte Stellen
---------+Article 41 1.
---------+Article 41 2.
---------+Article 41 3.
---------+Article 41 4.
------+Artikel 42 Antrag auf Notifizierung
---------+Article 42 1.
---------+Article 42 2.
---------+Article 42 3.
------+Artikel 43 Notifizierungsverfahren
---------+Article 43 1.
---------+Article 43 2.
---------+Article 43 3.
---------+Article 43 4.
---------+Article 43 5.
---------+Article 43 6.
------+Artikel 44 Kennnummern und Verzeichnisse notifizierter Stellen
---------+Article 44 1.
---------+Article 44 2.
------+Artikel 45 Änderungen der Notifizierungen
---------+Article 45 1.
---------+Article 45 2.
------+Artikel 46 Anfechtung der Kompetenz notifizierter Stellen
---------+Article 46 1.
---------+Article 46 2.
---------+Article 46 3.
---------+Article 46 4.
------+Artikel 47 Operative Pflichten der notifizierten Stellen
---------+Article 47 1.
---------+Article 47 2.
---------+Article 47 3.
---------+Article 47 4.
---------+Article 47 5.
---------+Article 47 6.
------+Artikel 48 Einspruch gegen Entscheidungen notifizierter Stellen
------+Artikel 49 Meldepflichten der notifizierten Stellen
---------+Article 49 1.
---------+Article 49 2.
------+Artikel 50 Erfahrungsaustausch
------+Artikel 51 Koordinierung der notifizierten Stellen
---------+Article 51 1.
---------+Article 51 2.
---+KAPITEL V MARKTÜBERWACHUNG UND DURCHSETZUNG
------+Artikel 52 Marktüberwachung und Kontrolle von Produkten mit digitalen Elementen auf dem Unionsmarkt
---------+Article 52 1.
---------+Article 52 2.
---------+Article 52 3.
---------+Article 52 4.
---------+Article 52 5.
---------+Article 52 6.
---------+Article 52 7.
---------+Article 52 8.
---------+Article 52 9.
---------+Article 52 10.
---------+Article 52 11.
---------+Article 52 12.
---------+Article 52 13.
---------+Article 52 14.
---------+Article 52 15.
---------+Article 52 16.
------+Artikel 53 Zugang zu Daten und zur Dokumentation
------+Artikel 54 Nationale Verfahren für Produkte mit digitalen Elementen, die ein erhebliches Cybersicherheitsrisiko bergen
---------+Article 54 1.
---------+Article 54 2.
---------+Article 54 3.
---------+Article 54 4.
---------+Article 54 5.
---------+Article 54 6.
---------+Article 54 7.
---------+Article 54 8.
---------+Article 54 9.
------+Artikel 55 Schutzklauselverfahren der Union
---------+Article 55 1.
---------+Article 55 2.
---------+Article 55 3.
---------+Article 55 4.
---------+Article 55 5.
------+Artikel 56 Verfahren auf Unionsebene für Produkte mit digitalen Elementen, die ein erhebliches Cybersicherheitsrisiko bergen
---------+Article 56 1.
---------+Article 56 2.
---------+Article 56 3.
---------+Article 56 4.
---------+Article 56 5.
---------+Article 56 6.
---------+Article 56 7.
------+Artikel 57 Konforme Produkte mit digitalen Elementen, die ein erhebliches Cybersicherheitsrisiko bergen
---------+Article 57 1.
---------+Article 57 2.
---------+Article 57 3.
---------+Article 57 4.
---------+Article 57 5.
---------+Article 57 6.
---------+Article 57 7.
---------+Article 57 8.
---------+Article 57 9.
---------+Article 57 10.
---------+Article 57 11.
------+Artikel 58 Formale Nichtkonformität
---------+Article 58 1.
---------+Article 58 2.
------+Artikel 59 Gemeinsame Tätigkeiten der Marktüberwachungsbehörden
---------+Article 59 1.
---------+Article 59 2.
---------+Article 59 3.
---------+Article 59 4.
---------+Article 59 5.
------+Artikel 60 Koordinierte Kontrollen (Sweeps)
---------+Article 60 1.
---------+Article 60 2.
---------+Article 60 3.
---------+Article 60 4.
---------+Article 60 5.
---+KAPITEL VI ÜBERTRAGENE BEFUGNISSE UND AUSSCHUSSVERFAHREN
------+Artikel 61 Ausübung der Befugnisübertragung
---------+Article 61 1.
---------+Article 61 2.
---------+Article 61 3.
---------+Article 61 4.
---------+Article 61 5.
---------+Article 61 6.
------+Artikel 62 Ausschussverfahren
---------+Article 62 1.
---------+Article 62 2.
---------+Article 62 3.
---+KAPITEL VII VERTRAULICHKEIT UND SANKTIONEN
------+Artikel 63 Vertraulichkeit
---------+Article 63 1.
---------+Article 63 2.
---------+Article 63 3.
---------+Article 63 4.
------+Artikel 64 Sanktionen
---------+Article 64 1.
---------+Article 64 2.
---------+Article 64 3.
---------+Article 64 4.
---------+Article 64 5.
---------+Article 64 6.
---------+Article 64 7.
---------+Article 64 8.
---------+Article 64 9.
---------+Article 64 10.
------+Artikel 65 Verbandsklagen
---+KAPITEL VIII ÜBERGANGS- UND SCHLUSSBESTIMMUNGEN
------+Artikel 66 Änderung der Verordnung (EU) 2019/1020
------+Artikel 67 Änderung der Richtlinie (EU) 2020/1828
------+Artikel 68 Änderungen der Verordnung (EU) Nr. 168/2013
------+Artikel 69 Übergangsbestimmungen
---------+Article 69 1.
---------+Article 69 2.
---------+Article 69 3.
------+Artikel 70 Bewertung und Überprüfung
---------+Article 70 1.
---------+Article 70 2.
------+Artikel 71 Inkrafttreten und Geltungsbeginn
---------+Article 71 1.
---------+Article 71 2.
---+ANHANG I GRUNDLEGENDE CYBERSECURITYANFORDERUNGEN
---+ANHANG II INFORMATIONEN UND ANLEITUNGEN FÜR DEN NUTZER
---+ANHANG III WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN
---+ANHANG IV KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN
---+ANHANG V EU-KONFORMITÄTSERKLÄRUNG
---+ANHANG VI VEREINFACHTE EU-KONFORMITÄTSERKLÄRUNG
---+ANHANG VII INHALT DER TECHNISCHEN DOKUMENTATION
---+ANHANG VIII KONFORMITÄTSBEWERTUNGSVERFAHREN
|
English -
European Union -
VERORDNUNG (EU) 2024/2847 DES EUROPÄISCHEN PARLAMENTS UND DES RATES vom 23. Oktober 2024 über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung) (Text von Bedeutung für den EWR)
VERORDNUNG (EU) 2024/2847 DES EUROPÄISCHEN PARLAMENTS UND DES RATES
vom 23. Oktober 2024
über horizontale Cybersicherheitsanforderungen für Produkte mit digitalen Elementen und zur Änderung der Verordnungen (EU) Nr. 168/2013 und (EU) 2019/1020 und der Richtlinie (EU) 2020/1828 (Cyberresilienz-Verordnung)
(Text von Bedeutung für den EWR)
Diese Verordnung ist in allen ihren Teilen verbindlich und gilt unmittelbar in jedem Mitgliedstaat.
1. Übersicht
| Bezeichnung |
Regulierung |
|
KAPITEL I ALLGEMEINE BESTIMMUNGEN
|
KAPITEL I ALLGEMEINE BESTIMMUNGEN
|
|
KAPITEL II PFLICHTEN DER WIRTSCHAFTSAKTEURE UND BESTIMMUNGEN IN BEZUG AUF FREIE UND QUELLOFFENE SOFTWARE
|
KAPITEL II PFLICHTEN DER WIRTSCHAFTSAKTEURE UND BESTIMMUNGEN IN BEZUG AUF FREIE UND QUELLOFFENE SOFTWARE
|
|
KAPITEL III KONFORMITÄT DES PRODUKTS MIT DIGITALEN ELEMENTEN
|
KAPITEL III KONFORMITÄT DES PRODUKTS MIT DIGITALEN ELEMENTEN
|
|
KAPITEL IV NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN
|
KAPITEL IV NOTIFIZIERUNG VON KONFORMITÄTSBEWERTUNGSSTELLEN
|
|
KAPITEL V MARKTÜBERWACHUNG UND DURCHSETZUNG
|
KAPITEL V MARKTÜBERWACHUNG UND DURCHSETZUNG
|
|
KAPITEL VI ÜBERTRAGENE BEFUGNISSE UND AUSSCHUSSVERFAHREN
|
KAPITEL VI ÜBERTRAGENE BEFUGNISSE UND AUSSCHUSSVERFAHREN
|
|
KAPITEL VII VERTRAULICHKEIT UND SANKTIONEN
|
KAPITEL VII VERTRAULICHKEIT UND SANKTIONEN
|
|
KAPITEL VIII ÜBERGANGS- UND SCHLUSSBESTIMMUNGEN
|
KAPITEL VIII ÜBERGANGS- UND SCHLUSSBESTIMMUNGEN
|
|
ANHANG I GRUNDLEGENDE CYBERSECURITYANFORDERUNGEN
|
ANHANG I
GRUNDLEGENDE CYBERSECURITYANFORDERUNGEN
Teil I Cybersicherheitsanforderungen in Bezug auf die Eigenschaften von Produkten mit digitalen Elementen
(1) Produkte mit digitalen Elementen werden so konzipiert, entwickelt und hergestellt, dass sie angesichts der Risiken ein angemessenes Cybersicherheitsniveau gewährleisten.
(2) Auf der Grundlage der Bewertung der Cybersicherheitsrisiken gemäß Artikel 13 Absatz 2 müssen Produkte mit digitalen Elementen, soweit zutreffend,
a)
ohne bekannte ausnutzbare Schwachstellen auf dem Markt bereitgestellt werden,
b)
mit einer sicheren Standardkonfiguration auf dem Markt bereitgestellt werden, sofern zwischen dem Hersteller und dem gewerblichen Nutzer in Bezug auf ein maßgeschneidertes Produkt mit digitalen Elementen nichts anderes vereinbart wurde, und die Möglichkeit bieten, das Produkt in seinen ursprünglichen Zustand zurückzusetzen,
c)
sicherstellen, dass Schwachstellen durch Sicherheitsaktualisierungen behoben werden können, gegebenenfalls auch durch automatische Sicherheitsaktualisierungen, die als Standardeinstellung innerhalb eines angemessenen Zeitrahmens installiert werden sowie über einen klaren und benutzerfreundlichen Opt-out-Mechanismus verfügen, bei dem die Nutzer über verfügbare Aktualisierungen informiert werden und sie vorübergehend verschieben können;
d)
durch geeignete Kontrollmechanismen Schutz vor unbefugtem Zugriff bieten, darunter u. a. zumindest Authentifizierungs-, Identitäts- oder Zugangsverwaltungssysteme, und einen möglicherweise unbefugten Zugriff melden,
e)
die Vertraulichkeit gespeicherter, übermittelter oder anderweitig verarbeiteter personenbezogener oder sonstiger Daten schützen, z. B. durch Verschlüsselung relevanter Daten, die gespeichert sind oder gerade verwendet oder übermittelt werden, durch modernste Mechanismen und durch den Einsatz anderer technischer Mittel,
f)
die Integrität gespeicherter, übermittelter oder anderweitig verarbeiteter Daten, ob personenbezogener oder sonstiger Daten, Befehle, Programme und Konfigurationen vor einer vom Nutzer nicht genehmigten Manipulation oder Veränderung schützen und deren Beschädigung melden,
g)
die Verarbeitung personenbezogener oder sonstiger Daten auf solche, die angemessen und von Bedeutung sind, und auf das für die Zweckbestimmung des Produkts mit digitalen Elementen erforderliche Maß beschränken („Datenminimierung“),
h)
die Verfügbarkeit wesentlicher und grundlegender Funktionen, auch nach einem Sicherheitsvorfall, einschließlich über Abwehr- und Eindämmungsmaßnahmen gegen Überlastungsangriffe auf Server (Denial-of-Service-Angriffe), sicherstellen,
i)
die negativen Auswirkungen von den Produkten selbst oder von vernetzten Geräten auf die Verfügbarkeit der von anderen Geräten oder Netzen bereitgestellten Dienste minimieren,
j)
so konzipiert, entwickelt und hergestellt werden, dass sie — auch bei externen Schnittstellen — möglichst geringe Angriffsflächen bieten,
k)
so konzipiert, entwickelt und hergestellt werden, dass die Auswirkungen eines Sicherheitsvorfalls durch geeignete Mechanismen und Techniken zur Minderung der möglichen Ausnutzung verringert werden,
l)
sicherheitsbezogene Informationen durch Aufzeichnung und/oder Überwachung einschlägiger interner Vorgänge wie Zugang zu Daten, Diensten oder Funktionen und Änderungen daran bereitstellen und den Nutzern einen Opt-out-Mechanismus zur Verfügung stellen,
m)
den Nutzern die Möglichkeit bieten, alle Daten und Einstellungen dauerhaft sicher und einfach zu löschen, und, wenn diese Daten auf andere Produkte oder Systeme übertragen werden können, sicherstellen, dass dies auf sichere Weise geschieht.
Teil II Anforderungen an die Behandlung von Schwachstellen
Die Hersteller von Produkten mit digitalen Elementen müssen
(1)
Schwachstellen und Komponenten der Produkte mit digitalen Elementen ermitteln und dokumentieren, u. a. durch Erstellung einer Software-Stückliste in einem gängigen maschinenlesbaren Format, aus der zumindest die obersten Abhängigkeiten der Produkte hervorgehen;
(2)
im Hinblick auf die Risiken im Zusammenhang mit den Produkten mit digitalen Elementen unverzüglich Schwachstellen behandeln und beheben, unter anderem durch Bereitstellung von Sicherheitsaktualisierungen; soweit technisch machbar, müssen neue Sicherheitsaktualisierungen getrennt von den Funktionsaktualisierungen bereitgestellt werden;
(3)
die Sicherheit des Produkts mit digitalen Elementen regelmäßig und wirksam testen und überprüfen;
(4)
sobald eine Sicherheitsaktualisierung bereitgestellt worden ist, Informationen über beseitigte Schwachstellen teilen und veröffentlichen, einschließlich einer Beschreibung der Schwachstellen mit Angaben, anhand deren die Nutzer das betroffene Produkt mit digitalen Elementen, die Auswirkungen der Schwachstellen und ihre Schwere erkennen können, sowie eindeutige und verständliche Informationen, die den Nutzern helfen, die Schwachstellen zu beheben; in hinreichend begründeten Fällen, in denen die Hersteller der Auffassung sind, dass die Risiken der Veröffentlichung die Vorteile in Bezug auf die Sicherheit überwiegen, können sie die Veröffentlichung von Informationen über eine behobene Schwachstelle so lange aufschieben, bis den Nutzern die Möglichkeit gegeben wurde, den entsprechenden Patch anzuwenden;
(5)
eine Strategie für die koordinierte Offenlegung von Schwachstellen aufstellen und umsetzen;
(6)
Maßnahmen ergreifen, um den Austausch von Informationen über mögliche Schwachstellen in ihrem Produkt mit digitalen Elementen und darin enthaltenen Komponenten Dritter zu erleichtern, und dazu u. a. eine Kontaktadresse für die Meldung der in dem Produkt mit digitalen Elementen entdeckten Schwachstellen angeben;
(7)
Mechanismen für die sichere Verbreitung von Aktualisierungen für Produkte mit digitalen Elementen bereitstellen, damit Schwachstellen rechtzeitig und im Falle von Sicherheitsaktualisierungen gegebenenfalls automatisch behoben oder eingedämmt werden;
(8)
dafür sorgen, dass Sicherheitsaktualisierungen, die zur Bewältigung festgestellter Sicherheitsprobleme zur Verfügung stehen, unverzüglich und — sofern zwischen dem Hersteller und dem gewerblichen Nutzer in Bezug auf ein maßgeschneidertes Produkt mit digitalen Elementen nichts anderes vereinbart wurde — kostenlos verbreitet werden, zusammen mit Hinweisen und einschlägigen Informationen, auch über zu treffende mögliche Maßnahmen.
|
|
ANHANG II INFORMATIONEN UND ANLEITUNGEN FÜR DEN NUTZER
|
ANHANG II
INFORMATIONEN UND ANLEITUNGEN FÜR DEN NUTZER
Dem Produkt mit digitalen Elementen muss mindestens Folgendes beigefügt sein:
1.
Name, eingetragener Handelsname oder eingetragene Handelsmarke des Herstellers, die Postanschrift, E-Mail-Adresse oder andere digitale Kontaktmöglichkeit und, falls vorhanden, Website, unter denen der Hersteller erreichbar ist;
2.
die zentrale Kontaktstelle, bei der Informationen über Schwachstellen des Produkts mit digitalen Elementen gemeldet werden können und entgegengenommen werden und das Konzept für die koordinierte Offenlegung von Schwachstellen zu finden ist;
3.
Name und Typ sowie alle zusätzlichen Informationen, die eine eindeutige Identifizierung des Produkts mit digitalen Elementen ermöglichen;
4.
die Zweckbestimmung des Produkts mit digitalen Elementen, einschließlich des vom Hersteller bereitgestellten Sicherheitsumfelds, sowie die Hauptfunktionen des Produkts und Informationen über die Sicherheitseigenschaften;
5.
alle bekannten oder vorhersehbaren Umstände im Zusammenhang mit der Zweckbestimmung des Produkts mit digitalen Elementen oder dessen vernünftigerweise vorhersehbaren Fehlanwendung, die zu erheblichen Cybersicherheitsrisiken führen können;
6.
gegebenenfalls die Internetadresse, unter der die EU-Konformitätserklärung abrufbar ist;
7.
die Art der vom Hersteller angebotenen technischen Sicherheitsunterstützung und das Enddatum des Unterstützungszeitraums, in dem die Nutzer die Behebung von Schwachstellen und den Erhalt von Sicherheitsaktualisierungen erwarten können;
8.
ausführliche Anleitungen oder eine Internetadresse, unter der auf solche ausführlichen Anleitungen und Informationen verwiesen wird, dazu,
a)
welche Maßnahmen bei der ersten Inbetriebnahme und während der gesamten Lebensdauer des Produkts mit digitalen Elementen getroffen werden müssen, um dessen sichere Verwendung sicherzustellen,
b)
wie sich Änderungen am Produkt mit digitalen Elementen auf die Datensicherheit auswirken können,
c)
wie sicherheitsrelevante Aktualisierungen installiert werden können,
d)
wie eine sichere Außerbetriebnahme des Produkts mit digitalen Elementen erfolgt und wie Nutzerdaten sicher entfernt werden können;
e)
wie die Standardeinstellung, die die automatische Installation von Sicherheitsaktualisierungen gemäß Anhang I Teil I Buchstabe c ermöglicht, deaktiviert werden kann;
f)
wie der Integrator die grundlegenden Cybersicherheitsanforderungen in Anhang I und die Anforderungen an die technische Dokumentation in Anhang VII erfüllen kann, wenn das Produkt mit digitalen Elementen für die Integration in andere Produkte mit digitalen Elementen bestimmt ist;
9.
für den Fall, dass der Hersteller dem Nutzer die Software-Stückliste zur Verfügung stellt, wo auf die Software-Stückliste zugegriffen werden kann.
|
|
ANHANG III WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN
|
ANHANG III
WICHTIGE PRODUKTE MIT DIGITALEN ELEMENTEN
Klasse I
1. Identitätsmanagementsysteme sowie Software und Hardware für die Verwaltung privilegierter Zugänge bzw. Zugriffe, einschließlich Lesegeräte für die Authentifizierung und Zugangskontrolle, auch biometrische Lesegeräte
2. eigenständige und eingebettete Browser
4. Software für die Suche, Entfernung und Quarantäne von Schadsoftware
5. Produkte mit digitalen Elementen mit der Funktion eines virtuellen privaten Netzes (VPN)
7. Systeme für die Verwaltung von Sicherheitsinformationen und -ereignissen (SIEM)
9. Public-Key-Infrastrukturen und Software für die Ausstellung digitaler Zertifikate
10. physische und virtuelle Netzschnittstellen
12. Router, Modems für die Internetanbindung und Switches
13. Mikroprozessoren mit sicherheitsrelevanten Funktionen
14. Mikrocontroller mit sicherheitsrelevanten Funktionen
15. anwendungsspezifische integrierte Schaltungen (ASIC) und FPGA (Field Programmable Gate Array) mit sicherheitsrelevanten Funktionen
16. virtuelle Assistenten für die intelligente häusliche Umgebung mit allgemeinem Zweck
17. Produkte für die intelligente häusliche Umgebung mit Sicherheitsfunktionen, einschließlich intelligenter Türschlösser, Sicherheitskameras, Babyüberwachungssysteme und Alarmanlagen
18. mit dem Internet verbundenes Spielzeug, das unter die Richtlinie 2009/48/EG des Europäischen Parlaments und des Rates (
4
) fällt und über Funktionen zur sozialen Interaktion (z. B. sprechen oder filmen) oder zur Ortung verfügt
19. am Körper tragbare Produkte, die zum Zwecke der Gesundheitsüberwachung (z. B. Tracking) bestimmt sind und nicht unter die Verordnungen (EU) 2017/745 oder (EU) 2017/746 fallen, oder am Körper tragbare Produkte, die für die Verwendung durch und für Kinder bestimmt sind
Klasse II
1. Hypervisoren und Container-Runtime-Systeme, die eine virtualisierte Ausführung von Betriebssystemen und ähnlichen Umgebungen unterstützen
2. Firewalls, Intrusion-Detection-Systeme und Intrusion-Prevention-Systeme
3. manipulationssichere Mikroprozessoren
4. manipulationssichere Mikrocontroller
|
|
ANHANG IV KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN
|
ANHANG IV
KRITISCHE PRODUKTE MIT DIGITALEN ELEMENTEN
1. Hardwaregeräte mit Sicherheitsboxen
2. Smart-Meter-Gateways in intelligenten Messsystemen im Sinne des Artikels 2 Nummer 23 der Richtlinie (EU) 2019/944 des Europäischen Parlaments und des Rates (
5
) sowie andere Geräte für fortgeschrittene Sicherheitszwecke, einschließlich der sicheren Kryptoverarbeitung
3. Chipkarten oder ähnliche Geräte, einschließlich Sicherheitselemente
|
|
ANHANG V EU-KONFORMITÄTSERKLÄRUNG
|
ANHANG V
EU-KONFORMITÄTSERKLÄRUNG
Die EU-Konformitätserklärung gemäß Artikel 28 enthält alle folgenden Angaben:
1.
den Namen und den Typ sowie alle zusätzlichen Informationen, die eine eindeutige Identifizierung des Produkts mit digitalen Elementen ermöglichen
2.
den Namen und die Anschrift des Herstellers oder seines Bevollmächtigten
3.
eine Erklärung darüber, dass der Anbieter die alleinige Verantwortung für die Ausstellung der EU-Konformitätserklärung trägt
4.
den Gegenstand der Erklärung (Bezeichnung des Produkts mit digitalen Elementen zwecks Rückverfolgbarkeit, gegebenenfalls mit Foto)
5.
eine Erklärung, dass der oben beschriebene Gegenstand der Erklärung den einschlägigen Harmonisierungsrechtsvorschriften der Union entspricht
6.
Verweise auf die verwendeten einschlägigen harmonisierten Normen oder sonstigen gemeinsamen Spezifikationen oder die Cybersicherheitszertifizierung, für die die Konformität erklärt wird
7.
gegebenenfalls den Namen und die Kennnummer der notifizierten Stelle, eine Beschreibung des durchgeführten Konformitätsbewertungsverfahrens und die Kennnummer der ausgestellten Bescheinigung
8.
weitere Angaben:
Unterzeichnet für und im Namen von:
(Ort und Datum der Ausstellung)
(Name, Funktion) (Unterschrift):
|
|
ANHANG VI VEREINFACHTE EU-KONFORMITÄTSERKLÄRUNG
|
ANHANG VI
VEREINFACHTE EU-KONFORMITÄTSERKLÄRUNG
Die vereinfachte EU-Konformitätserklärung nach Artikel 13 Absatz 20 hat folgenden Wortlaut:
Hiermit erklärt … [Name des Herstellers], dass der Typ des Produkts mit digitalen Elementen … [Bezeichnung des Typs des Produkts mit digitalen Elementen] der Verordnung (EU) 2024/2847 (
6
) entspricht. Der vollständige Text der EU-Konformitätserklärung kann unter der folgenden Internetadresse abgerufen werden: …
|
|
ANHANG VII INHALT DER TECHNISCHEN DOKUMENTATION
|
ANHANG VII
INHALT DER TECHNISCHEN DOKUMENTATION
Die in Artikel 31 genannte technische Dokumentation muss mindestens die folgenden Informationen enthalten, soweit sie für das betreffende Produkt mit digitalen Elementen von Bedeutung sind:
1.
eine allgemeine Beschreibung des Produkts mit digitalen Elementen, einschließlich
b)
Softwareversionen, die sich auf die Erfüllung der grundlegenden Cybersicherheitsanforderungen auswirken,
c)
wenn es sich bei dem Produkt mit digitalen Elementen um ein Hardwareprodukt handelt: Fotografien oder Abbildungen, aus denen äußere Merkmale, Kennzeichnungen und innerer Aufbau hervorgehen;
d)
Informationen und Anleitungen für die Nutzer gemäß Anhang II;
2.
eine Beschreibung der Konzeption, Entwicklung und Herstellung des Produkts mit digitalen Elementen und der Verfahren zur Behandlung von Schwachstellen, einschließlich
a)
erforderlicher Informationen über die Konzeption und Entwicklung des Produkts mit digitalen Elementen, gegebenenfalls mit Zeichnungen und Schemata und/oder einer Beschreibung der Systemarchitektur, aus der hervorgeht, wie Softwarekomponenten aufeinander aufbauen, miteinander zusammenwirken und sich in die Gesamtverarbeitung integrieren;
b)
erforderlicher Informationen und Spezifikationen bezüglich der vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen, einschließlich der Software-Stückliste, des Konzepts für die koordinierte Offenlegung von Schwachstellen, des Nachweises der Bereitstellung einer Kontaktadresse für die Meldung der Schwachstellen und einer Beschreibung der gewählten technischen Lösungen für die sichere Verbreitung von Aktualisierungen;
c)
erforderlicher Informationen und Spezifikationen bezüglich der Herstellungs- und Überwachungsprozesse des Produkts mit digitalen Elementen und der Validierung dieser Prozesse;
3.
eine Bewertung der Cybersicherheitsrisiken, die bei der Konzeption, Entwicklung, Herstellung, Lieferung und Wartung des Produkts mit digitalen Elementen nach Artikel 13 berücksichtigt werden, einschließlich der Frage, inwieweit die grundlegenden Cybersicherheitsanforderungen gemäß Anhang I Teil I Anwendung finden;
4.
einschlägige Informationen, die bei der Festlegung des Unterstützungszeitraums gemäß Artikel 13 Absatz 8 des Produkts mit digitalen Elementen berücksichtigt wurden;
5.
eine Aufstellung der vollständig oder teilweise angewandten harmonisierten Normen, deren Fundstellen im Amtsblatt der Europäischen Union veröffentlicht wurden, der in Artikel 27 dieser Verordnung genannten gemeinsamen Spezifikationen oder der in Artikel 27 Absatz 8 dieser Verordnung genannten europäischen Schemata für die Cybersicherheitszertifizierung, angenommen gemäß der Verordnung (EU) 2019/881, und, falls keine solchen harmonisierten Normen, gemeinsamen Spezifikationen und europäischen Schemata für die Cybersicherheitszertifizierung angewandt werden, Beschreibungen der Lösungen, mit denen die grundlegenden Cybersicherheitsanforderungen in Anhang I Teile I und II erfüllt werden, mit einer Aufstellung sonstiger angewandter einschlägiger technischer Spezifikationen. Bei einer teilweisen Anwendung harmonisierter Normen, gemeinsamer Spezifikationen oder europäischer Schemata für die Cybersicherheitszertifizierung ist in der technischen Dokumentation anzugeben, welche Teile angewandt wurden;
6.
Berichte über die Tests und Prüfungen, die durchgeführt wurden, um die Konformität des Produkts mit digitalen Elementen und der Verfahren zur Behandlung von Schwachstellen mit den geltenden grundlegenden Cybersicherheitsanforderungen in Anhang I Teile I und II zu überprüfen;
7.
ein Exemplar der EU-Konformitätserklärung;
8.
gegebenenfalls auf begründetes Verlangen der Marktüberwachungsbehörde die Software-Stückliste, sofern dies erforderlich ist, damit diese Behörde die Einhaltung der grundlegenden Cybersicherheitsanforderungen in Anhang I überprüfen kann.
|
|
ANHANG VIII KONFORMITÄTSBEWERTUNGSVERFAHREN
|
ANHANG VIII
KONFORMITÄTSBEWERTUNGSVERFAHREN
Teil I Konformitätsbewertungsverfahren auf der Grundlage einer internen Kontrolle (auf der Grundlage von Modul A)
1. Bei der internen Kontrolle handelt es sich um das Konformitätsbewertungsverfahren, mit dem der Hersteller die in den Nummern 2, 3 und 4 des vorliegenden Teils festgelegten Pflichten erfüllt sowie gewährleistet und auf eigene Verantwortung erklärt, dass die Produkte mit digitalen Elementen allen grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen und dass der Hersteller die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt.
2. Der Hersteller erstellt die technische Dokumentation gemäß Anhang VII.
3. Konzeption, Entwicklung, Herstellung und Behandlung von Schwachstellen bei Produkten mit digitalen Elementen
Der Hersteller trifft alle erforderlichen Maßnahmen, damit die Verfahren der Konzeption, Entwicklung, Herstellung und Schwachstellenbehandlung und deren Überwachung die Konformität der hergestellten oder entwickelten Produkte mit digitalen Elementen und der vom Hersteller festgelegten Verfahren mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teile I und II gewährleisten.
4. Konformitätskennzeichnung und Konformitätserklärung
4.1. Der Hersteller bringt die CE-Kennzeichnung an jedem einzelnen Produkt mit digitalen Elementen an, das den in dieser Verordnung festgelegten geltenden Anforderungen genügt.
4.2. Der Hersteller stellt für jedes Produkt mit digitalen Elementen eine schriftliche EU-Konformitätserklärung gemäß Artikel 28 aus und hält sie zusammen mit der technischen Dokumentation für einen Zeitraum von zehn Jahren ab dem Inverkehrbringen des Produkts mit digitalen Elementen oder während des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, für die nationalen Behörden bereit. Aus der EU-Konformitätserklärung muss hervorgehen, für welches Produkt mit digitalen Elementen sie ausgestellt wurde. Ein Exemplar der EU-Konformitätserklärung wird den einschlägigen Behörden auf Verlangen zur Verfügung gestellt.
Die in Nummer 4 genannten Verpflichtungen des Herstellers können von seinem Bevollmächtigten in seinem Auftrag und unter seiner Verantwortung erfüllt werden, falls die einschlägigen Verpflichtungen im Auftrag festgelegt sind.
Teil II EU-Baumusterprüfung (auf der Grundlage von Modul B)
1. Bei der EU-Baumusterprüfung handelt es sich um den Teil eines Konformitätsbewertungsverfahrens, bei dem eine notifizierte Stelle die technische Konzeption und Entwicklung eines Produkts mit digitalen Elementen und die vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen untersucht und prüft und sodann bescheinigt, dass ein Produkt mit digitalen Elementen den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügt und dass der Hersteller die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt.
2. Die EU-Baumusterprüfung erfolgt als Bewertung der Eignung der technischen Konzeption und Entwicklung des Produkts mit digitalen Elementen anhand der Prüfung der in Nummer 3 genannten technischen Dokumentation und zusätzlichen Nachweise sowie der Prüfung von Mustern eines oder mehrerer wichtiger Teile des Produkts (Kombination aus Bau- und Konzeptionsmuster).
3. Der Antrag auf EU-Baumusterprüfung wird vom Hersteller bei einer einzigen benannten Stelle seiner Wahl eingereicht.
Der Antrag enthält
3.1.
den Namen und die Anschrift des Herstellers sowie, wenn der Antrag vom Bevollmächtigten eingereicht wird, den Namen und die Anschrift des Bevollmächtigten;
3.2.
eine schriftliche Erklärung, dass derselbe Antrag bei keiner anderen notifizierten Stelle eingereicht worden ist;
3.3.
die technische Dokumentation, anhand deren die Konformität des Produkts mit digitalen Elementen mit den geltenden grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I und die Verfahren des Herstellers zur Behandlung von Schwachstellen gemäß Anhang I Teil II bewertet werden können; sie muss auch eine angemessene Risikoanalyse und -bewertung enthalten. In der technischen Dokumentation sind die geltenden Anforderungen aufzuführen und die Konzeption, die Herstellung und die Arbeitsweise des Produkts mit digitalen Elementen zu erfassen, soweit sie für die Bewertung von Bedeutung sind. Die technische Dokumentation enthält gegebenenfalls zumindest die in Anhang VII aufgeführten Elemente;
3.4.
zusätzliche Nachweise für die Eignung der Lösungen für die technische Konzeption und Entwicklung und der Verfahren zur Behandlung von Schwachstellen. In diesen zusätzlichen Nachweisen müssen alle Unterlagen vermerkt sein, nach denen vorgegangen wurde, insbesondere wenn die einschlägigen harmonisierten Normen oder technischen Spezifikationen nicht in vollem Umfang angewandt worden sind. Die Nachweise umfassen erforderlichenfalls die Ergebnisse von Prüfungen, die von einem geeigneten Labor des Herstellers oder von einem anderen Prüflabor in seinem Auftrag und unter seiner Verantwortung durchgeführt wurden.
4. Die notifizierte Stelle
4.1.
prüft die technische Dokumentation und die zusätzlichen Nachweise, um die Übereinstimmung der technischen Konzeption und Entwicklung des Produkts mit digitalen Elementen mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I und der vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II zu bewerten;
4.2.
überprüft, ob die Muster in Übereinstimmung mit der technischen Dokumentation entwickelt oder hergestellt wurde/n, welche Elemente nach den geltenden Vorschriften der einschlägigen harmonisierten Normen oder technischen Spezifikationen konzipiert und entwickelt wurden und welche Elemente ohne Anwendung der einschlägigen Vorschriften dieser Normen konzipiert und entwickelt wurden;
4.3.
führt geeignete Untersuchungen und Prüfungen durch bzw. veranlasst diese, um festzustellen, ob die Lösungen aus den einschlägigen harmonisierten Normen oder technischen Spezifikationen im Hinblick auf die Anforderungen in Anhang I korrekt angewandt worden sind, sofern sich der Hersteller für ihre Anwendung entschieden hat;
4.4.
führt geeignete Untersuchungen und Prüfungen durch bzw. veranlasst diese, um festzustellen, ob die vom Hersteller gewählten Lösungen die entsprechenden grundlegenden Cybersicherheitsanforderungen erfüllen, falls der Hersteller die Lösungen aus den einschlägigen harmonisierten Normen oder den technischen Spezifikationen für die Anforderungen in Anhang I nicht angewandt hat;
4.5.
vereinbart mit dem Hersteller, wo die Untersuchungen und Prüfungen durchgeführt werden.
5. Die notifizierte Stelle erstellt einen Bericht über die Beurteilung der nach Nummer 4 ausgeführten Tätigkeiten und deren Ergebnisse. Unbeschadet ihrer Pflichten gegenüber den notifizierenden Behörden veröffentlicht die notifizierte Stelle den Inhalt dieses Berichts oder Teile davon nur mit Zustimmung des Herstellers.
6. Entsprechen das Baumuster und die Verfahren zur Behandlung von Schwachstellen den grundlegenden Cybersicherheitsanforderungen in Anhang I, so stellt die notifizierte Stelle dem Hersteller eine EU-Baumusterprüfbescheinigung aus. Die Bescheinigung enthält den Namen und die Anschrift des Herstellers, die Ergebnisse der Prüfung, etwaige Bedingungen für ihre Gültigkeit und die erforderlichen Daten für die Identifizierung des zugelassenen Baumusters und des Verfahrens zur Behandlung von Schwachstellen. Der Bescheinigung können ein oder mehrere Anhänge beigefügt werden.
Die Bescheinigung und ihre Anhänge enthalten alle einschlägigen Informationen, anhand deren sich die Konformität der hergestellten oder entwickelten Produkte mit digitalen Elementen mit dem geprüften Baumuster und die Konformität der Verfahren zur Behandlung von Schwachstellen beurteilen und gegebenenfalls eine Kontrolle nach ihrer Inbetriebnahme durchführen lassen.
Entsprechen das Baumuster und die Verfahren zur Behandlung von Schwachstellen nicht den anwendbaren grundlegenden Cybersicherheitsanforderungen in Anhang I, so verweigert die notifizierte Stelle die Ausstellung einer EU-Baumusterprüfbescheinigung und unterrichtet den Antragsteller darüber, wobei sie ihre Weigerung ausführlich begründet.
7. Die notifizierte Stelle hält sich über alle Änderungen des allgemein anerkannten Stands der Technik auf dem Laufenden; deuten diese darauf hin, dass das zugelassene Baumuster und die Verfahren zur Behandlung von Schwachstellen nicht mehr den geltenden grundlegenden Cybersicherheitsanforderungen in Anhang I entsprechen, so entscheidet sie, ob derartige Änderungen weitere Untersuchungen nötig machen. Ist dies der Fall, so setzt die notifizierte Stelle den Hersteller davon in Kenntnis.
Der Hersteller unterrichtet die notifizierte Stelle, der die technische Dokumentation zur EU-Baumusterprüfbescheinigung vorliegt, über alle Änderungen an dem zugelassenen Baumuster und dem Verfahren zur Behandlung von Schwachstellen, die die Übereinstimmung mit den grundlegenden Cybersicherheitsanforderungen in Anhang I oder mit den Bedingungen für die Gültigkeit der Bescheinigung beeinträchtigen könnten. Derartige Änderungen erfordern eine Zusatzgenehmigung in Form einer Ergänzung der ursprünglichen EU-Baumusterprüfbescheinigung.
8. Die notifizierte Stelle führt regelmäßig Audits durch, um sicherzustellen, dass die in Anhang I Teil II aufgeführten Verfahren zur Behandlung von Schwachstellen angemessen umgesetzt werden.
9. Jede notifizierte Stelle unterrichtet ihre notifizierenden Behörden über die EU-Baumusterprüfbescheinigungen und etwaige Ergänzungen dazu, die sie ausgestellt oder zurückgenommen hat, und übermittelt ihren notifizierenden Behörden in regelmäßigen Abständen oder auf Verlangen eine Aufstellung aller Bescheinigungen und Ergänzungen dazu, die sie verweigert, ausgesetzt oder auf andere Art eingeschränkt hat.
Jede notifizierte Stelle unterrichtet die übrigen notifizierten Stellen über die EU-Baumusterprüfbescheinigungen und etwaige Ergänzungen dazu, die sie verweigert, zurückgenommen, ausgesetzt oder auf andere Weise eingeschränkt hat, und auf Verlangen über die Bescheinigungen und Ergänzungen dazu, die sie ausgestellt hat.
Auf Verlangen erhalten die Kommission, die Mitgliedstaaten und die anderen notifizierten Stellen ein Exemplar der EU-Baumusterprüfbescheinigungen und jeglicher Ergänzungen. Die Kommission und die Mitgliedstaaten erhalten auf Verlangen ein Exemplar der technischen Dokumentation und der Ergebnisse der durch die notifizierte Stelle vorgenommenen Prüfungen. Die notifizierte Stelle bewahrt ein Exemplar der EU-Baumusterprüfbescheinigung samt Anhängen und Ergänzungen sowie des technischen Dossiers einschließlich der vom Hersteller eingereichten Unterlagen so lange auf, bis die Gültigkeitsdauer der Bescheinigung endet.
10. Der Hersteller hält ein Exemplar der EU-Baumusterprüfbescheinigung samt Anhängen und Ergänzungen zusammen mit der technischen Dokumentation zehn Jahre lang nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder während des Unterstützungszeitraums je nachdem, welcher Zeitraum länger ist, für die nationalen Behörden bereit.
11. Der Bevollmächtigte des Herstellers kann den in Nummer 3 genannten Antrag einreichen und die in den Nummern 7 und 10 genannten Pflichten erfüllen, falls die einschlägigen Verpflichtungen in dem Auftrag festgelegt sind.
Teil III Konformität mit dem Baumuster auf der Grundlage einer internen Fertigungskontrolle (auf der Grundlage von Modul C)
1. Bei der Konformität mit dem Baumuster auf der Grundlage einer internen Fertigungskontrolle handelt es sich um den Teil eines Konformitätsbewertungsverfahrens, bei dem der Hersteller die in den Nummern 2 und 3 dieses Teils festgelegten Pflichten erfüllt sowie sicherstellt und erklärt, dass die betreffenden Produkte mit digitalen Elementen dem in der EU-Baumusterprüfbescheinigung beschriebenen Baumuster entsprechen und den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I genügen und er die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt.
Der Hersteller trifft alle erforderlichen Maßnahmen, damit die Konformität der hergestellten Produkte mit digitalen Elementen mit dem in der EU-Baumusterprüfbescheinigung beschriebenen zugelassenen Baumuster und den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I durch die Herstellung und ihre Überwachung gewährleistet ist, und stellt sicher, dass er die grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt.
3. Konformitätskennzeichnung und Konformitätserklärung
3.1.
Der Hersteller bringt an jedem einzelnen Produkt mit digitalen Elementen, das mit dem in der EU-Baumusterprüfbescheinigung beschriebenen Baumuster übereinstimmt und die in dieser Verordnung festgelegten geltenden Anforderungen erfüllt, die CE-Kennzeichnung an.
3.2.
Der Hersteller stellt für ein Produktmodell eine schriftliche Konformitätserklärung aus und hält sie zehn Jahre lang nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder während des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, für die nationalen Behörden bereit. Aus der Konformitätserklärung muss hervorgehen, für welches Produktmodell sie ausgestellt wurde. Ein Exemplar der Konformitätserklärung wird den einschlägigen Behörden auf Verlangen zur Verfügung gestellt.
Die in Nummer 3 genannten Verpflichtungen des Herstellers können von seinem Bevollmächtigten in seinem Auftrag und unter seiner Verantwortung erfüllt werden, falls die einschlägigen Verpflichtungen im Auftrag festgelegt sind.
Teil IV Konformität auf der Grundlage einer umfassenden Qualitätssicherung (auf der Grundlage von Modul H)
1. Bei der Konformität auf der Grundlage einer umfassenden Qualitätssicherung handelt es sich um das Konformitätsbewertungsverfahren, mit dem der Hersteller die in den Nummern 2 und 5 festgelegten Pflichten erfüllt sowie gewährleistet und auf eigene Verantwortung erklärt, dass die betreffenden Produkte mit digitalen Elementen oder Produktkategorien den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I und die vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen den grundlegenden Anforderungen in Anhang I Teil II genügen.
2. Konzeption, Entwicklung, Herstellung und Behandlung von Schwachstellen bei Produkten mit digitalen Elementen
Der Hersteller betreibt ein zugelassenes Qualitätssicherungssystem nach Nummer 3 für die Konzeption, Entwicklung und Endabnahme und Prüfung der betreffenden Produkte mit digitalen Elementen und für die Behandlung von Schwachstellen, erhält dessen Wirksamkeit während des Unterstützungszeitraums und unterliegt der Überwachung nach Nummer 4.
3. Qualitätssicherungssystem
3.1.
Der Hersteller beantragt bei einer notifizierten Stelle seiner Wahl die Bewertung seines Qualitätssicherungssystems für die betreffenden Produkte mit digitalen Elementen.
Der Antrag enthält
a)
den Namen und die Anschrift des Herstellers sowie, wenn der Antrag vom Bevollmächtigten eingereicht wird, den Namen und die Anschrift des Bevollmächtigten;
b)
die technische Dokumentation jeweils für ein Modell jeder herzustellenden oder zu entwickelnden Kategorie von Produkten mit digitalen Elementen; die technische Dokumentation enthält gegebenenfalls zumindest die in Anhang VII aufgeführten Elemente;
c)
die Dokumentation zum Qualitätssicherungssystem;
d)
eine schriftliche Erklärung, dass derselbe Antrag bei keiner anderen notifizierten Stelle eingereicht worden ist.
3.2.
Das Qualitätssicherungssystem gewährleistet die Konformität des Produkts mit digitalen Elementen mit den grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I und die Konformität der vom Hersteller festgelegten Verfahren zur Behandlung von Schwachstellen mit den grundlegenden Anforderungen in Anhang I Teil II.
▼C3
Alle vom Hersteller berücksichtigten Grundlagen, Anforderungen und Vorschriften sind systematisch und ordnungsgemäß in Form schriftlicher Grundsätze, Verfahren und Anweisungen zusammenzustellen. Diese Unterlagen über das Qualitätssicherungssystem gewährleisten, dass die Qualitätssicherungsprogramme, -pläne, -handbücher und qualitätsbezogene Aufzeichnungen einheitlich ausgelegt werden.
▼B
Sie enthalten insbesondere eine angemessene Beschreibung folgender Punkte:
a)
Qualitätsziele sowie organisatorischer Aufbau, Zuständigkeiten und Befugnisse des Managements in Bezug auf Konzeption, Entwicklung, Produktqualität und Behandlung von Schwachstellen;
b)
technische Spezifikationen für die Konzeption und Entwicklung, einschließlich der angewandten Normen, sowie bei nicht vollständiger Anwendung der einschlägigen harmonisierten Normen bzw. technischen Spezifikationen die Mittel, mit denen gewährleistet werden soll, dass die für die Produkte mit digitalen Elementen geltenden grundlegenden Cybersicherheitsanforderungen in Anhang I Teil I erfüllt werden;
c)
verfahrenstechnische Spezifikationen, einschließlich der angewandten Normen, sowie bei nicht vollständiger Anwendung der einschlägigen harmonisierten Normen oder technischen Spezifikationen die Mittel, mit denen gewährleistet werden soll, dass die für den Hersteller geltenden grundlegenden Cybersicherheitsanforderungen in Anhang I Teil II erfüllt werden;
d)
Techniken zur Steuerung der Konzeption und Entwicklung sowie Techniken zur Überprüfung der Konzeptions- und Entwicklungsergebnisse, Verfahren und systematische Maßnahmen, die bei der Konzeption und Entwicklung der zur betreffenden Produktkategorie gehörenden Produkte mit digitalen Elementen angewandt werden;
e)
entsprechende angewandte Techniken, Verfahren und systematische Maßnahmen für die Herstellung, Qualitätskontrolle und Qualitätssicherung;
f)
Prüfungen und Erprobungen, die vor, während und nach der Herstellung durchgeführt werden, sowie deren Häufigkeit;
g)
qualitätsbezogene Aufzeichnungen wie Kontrollberichte, Prüf- und Kalibrierungsdaten und Berichte über die Qualifikation der in diesem Bereich beschäftigten Mitarbeiter;
h)
Mittel, mit denen die Verwirklichung der angestrebten Konzeptions- und Produktqualität und die wirksame Arbeitsweise des Qualitätssicherungssystems überwacht werden können.
3.3.
Die notifizierte Stelle bewertet das Qualitätssicherungssystem, um festzustellen, ob es den Anforderungen nach Nummer 3.2 genügt.
Bei den Bestandteilen des Qualitätssicherungssystems, die den entsprechenden Spezifikationen der nationalen Norm zur Umsetzung der einschlägigen harmonisierten Norm oder einschlägigen technischen Spezifikationen entsprechen, geht sie von einer Konformität mit diesen Anforderungen aus.
Zusätzlich zur Erfahrung mit Qualitätsmanagementsystemen verfügt mindestens ein Mitglied des Auditteams über Erfahrungen mit der Bewertung in dem einschlägigen Bereich und der betreffenden Technologie des Produkts und verfügt über Kenntnisse der in dieser Verordnung festgelegten geltenden Anforderungen. Das Audit umfasst auch einen Kontrollbesuch in den Räumlichkeiten des Herstellers, falls es solche gibt. Das Auditteam überprüft die in Nummer 3.1 Buchstabe b genannte technische Dokumentation, um sich zu vergewissern, dass der Hersteller in der Lage ist, die in dieser Verordnung festgelegten anwendbaren Anforderungen zu erkennen und die erforderlichen Prüfungen durchzuführen, damit die Übereinstimmung des Produkts mit digitalen Elementen mit diesen Anforderungen gewährleistet ist.
Die Entscheidung wird dem Hersteller oder seinem Bevollmächtigten mitgeteilt.
Die Mitteilung enthält die Ergebnisse des Audits und die Begründung der Bewertungsentscheidung.
3.4.
Der Hersteller verpflichtet sich, die mit dem zugelassenen Qualitätssicherungssystem verbundenen Pflichten zu erfüllen und dafür zu sorgen, dass das System stets sachgemäß und effizient angewandt wird.
3.5.
Der Hersteller unterrichtet die notifizierte Stelle, die das Qualitätssicherungssystem zugelassen hat, über alle geplanten Änderungen des Qualitätssicherungssystems.
Die notifizierte Stelle prüft die geplanten Änderungen und entscheidet, ob das geänderte Qualitätssicherungssystem noch den in Nummer 3.2 genannten Anforderungen entspricht oder ob eine erneute Bewertung erforderlich ist.
Sie gibt dem Hersteller ihre Entscheidung bekannt. Die Mitteilung enthält die Ergebnisse der Prüfung und die Begründung der Bewertungsentscheidung.
4. Überwachung unter der Verantwortung der notifizierten Stelle
4.1.
Die Überwachung soll gewährleisten, dass der Hersteller die mit dem zugelassenen Qualitätssicherungssystem verbundenen Pflichten vorschriftsmäßig erfüllt.
4.2.
Der Hersteller gewährt der notifizierten Stelle zu Bewertungszwecken Zugang zu den Konzeptions-, Herstellungs-, Abnahme-, Prüf- und Lagereinrichtungen und stellt ihr alle erforderlichen Unterlagen zur Verfügung, insbesondere
a)
die Unterlagen über das Qualitätssicherungssystem,
b)
die im Qualitätssicherungssystem für den Konzeptionsteil vorgesehenen Qualitätsberichte wie Ergebnisse von Analysen, Berechnungen und Prüfungen,
c)
die im Qualitätssicherungssystem für den Fertigungsteil vorgesehenen Qualitätsberichte wie Kontrollberichte, Prüf- und Kalibrierungsdaten und Berichte über die Qualifikation der in diesem Bereich beschäftigten Mitarbeiter.
4.3.
Die notifizierte Stelle führt regelmäßig Audits durch, um sicherzustellen, dass der Hersteller das Qualitätssicherungssystem aufrechterhält und anwendet, und übergibt ihm einen entsprechenden Prüfbericht.
5. Konformitätskennzeichnung und Konformitätserklärung
5.1.
Der Hersteller bringt an jedem einzelnen Produkt mit digitalen Elementen, das den Anforderungen in Anhang I Teil I genügt, die CE-Kennzeichnung und unter der Verantwortung der in Absatz 3.1 genannten notifizierten Stelle deren Kennnummer an.
5.2.
Der Hersteller stellt für jedes Produktmodell eine schriftliche Konformitätserklärung aus und hält sie zehn Jahre lang nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder während des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, für die nationalen Behörden bereit. Aus der Konformitätserklärung muss hervorgehen, für welches Produktmodell sie ausgestellt wurde.
Ein Exemplar der Konformitätserklärung wird den einschlägigen Behörden auf Verlangen zur Verfügung gestellt.
6. Der Hersteller hält für einen Zeitraum von mindestens zehn Jahren nach dem Inverkehrbringen des Produkts mit digitalen Elementen oder während des Unterstützungszeitraums, je nachdem, welcher Zeitraum länger ist, folgende Unterlagen für die nationalen Behörden bereit:
a)
die technische Dokumentation nach Nummer 3.1,
b)
die Unterlagen über das Qualitätssicherungssystem nach Nummer 3.1,
c)
die Änderung nach Nummer 3.5 in ihrer genehmigten Form,
d)
die Entscheidungen und Berichte der notifizierten Stelle nach den Nummern 3.5 und 4.3.
7. Jede notifizierte Stelle unterrichtet ihre notifizierenden Behörden über Zulassungen von Qualitätssicherungssystemen, die sie ausgestellt oder zurückgenommen hat, und übermittelt ihnen in regelmäßigen Abständen oder auf Verlangen eine Aufstellung aller Zulassungen von Qualitätssicherungssystemen, die sie verweigert, ausgesetzt oder auf andere Art eingeschränkt hat.
Jede notifizierte Stelle unterrichtet die anderen notifizierten Stellen über Zulassungen von Qualitätssicherungssystemen, die sie verweigert, ausgesetzt oder zurückgenommen hat, und auf Verlangen über Zulassungen von Qualitätssicherungssystemen, die sie erteilt hat.
Die in den Nummern 3.1, 3.5, 5 und 6 genannten Verpflichtungen des Herstellers können von seinem Bevollmächtigten in seinem Auftrag und unter seiner Verantwortung erfüllt werden, sofern die einschlägigen Verpflichtungen im Auftrag festgelegt sind.
Zu diesem Rechtsakt wurde eine Erklärung abgegeben, die im ABl. C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj, zu finden ist.
|
,
1.1 Referenzen
1.2 Identifizierte Anforderungen
1.3 Zugehörige Standards
2. Identifizierte Anforderungen
Anforderungen
| Quelle |
Anforderung |
3. Zugehörige Standards
Standards
| Quelle |
Anforderung |
Verknüpfte Vorgänge
|