+EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2024/2847, 23. oktoober 2024, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrusi (EL) nr 168/2013 ja (EL) 2019/1020 ning direktiivi (EL) 2020/1828 (küberkerksuse määrus) (EMPs kohaldatav tekst)
---+I PEATÜKK ÜLDSÄTTED
------+Artikkel 1 Reguleerimisese
------+Artikkel 2 Kohaldamisala
---------+Artikkel 2 1.
---------+Artikkel 2 2.
---------+Artikkel 2 3.
---------+Artikkel 2 4.
---------+Artikkel 2 5.
---------+Artikkel 2 6.
---------+Artikkel 2 7.
---------+Artikkel 2 8.
------+Artikkel 3 Mõisted
------+Artikkel 4 Vaba liikumine
---------+Artikkel 4 1.
---------+Artikkel 4 2.
---------+Artikkel 4 3.
---------+Artikkel 4 4.
------+Artikkel 5 Digielemente sisaldavate toodete hankimine ja kasutamine
---------+Artikkel 5 1.
---------+Artikkel 5 2.
------+Artikkel 6 Digielemente sisaldavate toodete suhtes kehtivad nõuded
------+Artikkel 7 Digielemente sisaldavad olulised tooted
---------+Artikkel 7 1.
---------+Artikkel 7 2.
---------+Artikkel 7 3.
---------+Artikkel 7 4.
------+Artikkel 8 Digielemente sisaldavad kriitilise tähtsusega tooted
---------+Artikkel 8 1.
---------+Artikkel 8 2.
------+Artikkel 9 Sidusrühmadega konsulteerimine
---------+Artikkel 9 1.
---------+Artikkel 9 2.
------+Artikkel 10 Oskuste parandamine küberkerkses digikeskkonnas
------+Artikkel 11 Üldine tooteohutus
------+Artikkel 12 Suure riskiga tehisintellektisüsteemid
---------+Artikkel 12 1.
---------+Artikkel 12 2.
---------+Artikkel 12 3.
---------+Artikkel 12 4.
---+II PEATÜKK ETTEVÕTJATE KOHUSTUSED NING VABA JA AVATUD LÄHTEKOODIGA TARKVARA KÄSITLEVAD NORMID
------+Artikkel 13 Tootjate kohustused
---------+Artikkel 13 1.
---------+Artikkel 13 2.
---------+Artikkel 13 3.
---------+Artikkel 13 4.
---------+Artikkel 13 5.
---------+Artikkel 13 6.
---------+Artikkel 13 7.
---------+Artikkel 13 8.
---------+Artikkel 13 9.
---------+Artikkel 13 10.
---------+Artikkel 13 11.
---------+Artikkel 13 12.
---------+Artikkel 13 13.
---------+Artikkel 13 14.
---------+Artikkel 13 15.
---------+Artikkel 13 16.
---------+Artikkel 13 17.
---------+Artikkel 13 18.
---------+Artikkel 13 19.
---------+Artikkel 13 20.
---------+Artikkel 13 21.
---------+Artikkel 13 22.
---------+Artikkel 13 23.
---------+Artikkel 13 24.
---------+Artikkel 13 25.
------+Artikkel 14 Tootjate teatamiskohustused
---------+Artikkel 14 1.
---------+Artikkel 14 2.
---------+Artikkel 14 3.
---------+Artikkel 14 4.
---------+Artikkel 14 5.
---------+Artikkel 14 6.
---------+Artikkel 14 7.
---------+Artikkel 14 8.
---------+Artikkel 14 9.
---------+Artikkel 14 10.
------+Artikkel 15 Vabatahtlik teatamine
---------+Artikkel 15 1.
---------+Artikkel 15 2.
---------+Artikkel 15 3.
---------+Artikkel 15 4.
---------+Artikkel 15 5.
------+Artikkel 16 Ühtse teatamisplatvormi loomine
---------+Artikkel 16 1.
---------+Artikkel 16 2.
---------+Artikkel 16 3.
---------+Artikkel 16 4.
---------+Artikkel 16 5.
---------+Artikkel 16 6.
------+Artikkel 17 Muud teatamisega seotud normid
---------+Artikkel 17 1.
---------+Artikkel 17 2.
---------+Artikkel 17 3.
---------+Artikkel 17 4.
---------+Artikkel 17 5.
---------+Artikkel 17 6.
------+Artikkel 18 Volitatud esindajad
---------+Artikkel 18 1.
---------+Artikkel 18 2.
---------+Artikkel 18 3.
------+Artikkel 19 Importijate kohustused
---------+Artikkel 19 1.
---------+Artikkel 19 2.
---------+Artikkel 19 3.
---------+Artikkel 19 4.
---------+Artikkel 19 5.
---------+Artikkel 19 6.
---------+Artikkel 19 7.
---------+Artikkel 19 8.
------+Artikkel 20 Turustajate kohustused
---------+Artikkel 20 1.
---------+Artikkel 20 2.
---------+Artikkel 20 3.
---------+Artikkel 20 4.
---------+Artikkel 20 5.
---------+Artikkel 20 6.
------+Artikkel 21 Juhtumid, mil importijad ja turustajad täidavad tootjate kohustusi
------+Artikkel 22 Muud juhtumid, mil kohaldatakse tootjate kohustusi
---------+Artikkel 22 1.
---------+Artikkel 22 2.
------+Artikkel 23 Ettevõtjate identifitseerimine
---------+Artikkel 23 1.
---------+Artikkel 23 2.
------+Artikkel 24 Avatud lähtekoodiga tarkvara korraldaja kohustused
---------+Artikkel 24 1.
---------+Artikkel 24 2.
---------+Artikkel 24 3.
------+Artikkel 25 Vaba ja avatud lähtekoodiga tarkvara turvalisuse tõendamine
------+Artikkel 26 Suunised
---------+Artikkel 26 1.
---------+Artikkel 26 2.
---------+Artikkel 26 3.
---+III PEATÜKK DIGIELEMENTE SISALDAVA TOOTE VASTAVUS NÕUETELE
------+Artikkel 27 Nõuetele vastavuse eeldamine
---------+Artikkel 27 1.
---------+Artikkel 27 2.
---------+Artikkel 27 3.
---------+Artikkel 27 4.
---------+Artikkel 27 5.
---------+Artikkel 27 6.
---------+Artikkel 27 7.
---------+Artikkel 27 8.
---------+Artikkel 27 9.
------+Artikkel 28 ELi vastavusdeklaratsioon
---------+Artikkel 28 1.
---------+Artikkel 28 2.
---------+Artikkel 28 3.
---------+Artikkel 28 4.
---------+Artikkel 28 5.
------+Artikkel 29 CE-vastavusmärgise üldpõhimõtted
------+Artikkel 30 CE-vastavusmärgise kinnitamise nõuded ja tingimused
---------+Artikkel 30 1.
---------+Artikkel 30 2.
---------+Artikkel 30 3.
---------+Artikkel 30 4.
---------+Artikkel 30 5.
---------+Artikkel 30 6.
------+Artikkel 31 Tehniline dokumentatsioon
---------+Artikkel 31 1.
---------+Artikkel 31 2.
---------+Artikkel 31 3.
---------+Artikkel 31 4.
---------+Artikkel 31 5.
------+Artikkel 32 Digielemente sisaldavate toodete vastavushindamismenetlused
---------+Artikkel 32 1.
---------+Artikkel 32 2.
---------+Artikkel 32 3.
---------+Artikkel 32 4.
---------+Artikkel 32 5.
---------+Artikkel 32 6.
------+Artikkel 33 Mikro-, väikeste ja keskmise suurusega ettevõtjate, sealhulgas idufirmade tugimeetmed
---------+Artikkel 33 1.
---------+Artikkel 33 2.
---------+Artikkel 33 3.
---------+Artikkel 33 4.
---------+Artikkel 33 5.
------+Artikkel 34 Vastastikuse tunnustamise lepingud
---+IV PEATÜKK VASTAVUSHINDAMISASUTUSTEST TEATAMINE
------+Artikkel 35 Teatamine
---------+Artikkel 35 1.
---------+Artikkel 35 2.
------+Artikkel 36 Teavitavad asutused
---------+Artikkel 36 1.
---------+Artikkel 36 2.
---------+Artikkel 36 3.
---------+Artikkel 36 4.
------+Artikkel 37 Nõuded teavitava asutuse kohta
---------+Artikkel 37 1.
---------+Artikkel 37 2.
---------+Artikkel 37 3.
---------+Artikkel 37 4.
---------+Artikkel 37 5.
---------+Artikkel 37 6.
------+Artikkel 38 Teavitavate asutuste kohta teatamise kohustus
---------+Artikkel 38 1.
---------+Artikkel 38 2.
------+Artikkel 39 Nõuded seoses teada antud asutustega
---------+Artikkel 39 1.
---------+Artikkel 39 2.
---------+Artikkel 39 3.
---------+Artikkel 39 4.
---------+Artikkel 39 5.
---------+Artikkel 39 6.
---------+Artikkel 39 7.
---------+Artikkel 39 8.
---------+Artikkel 39 9.
---------+Artikkel 39 10.
---------+Artikkel 39 11.
---------+Artikkel 39 12.
------+Artikkel 40 Nõuetele vastavuse eeldamine teada antud asutuste korral
------+Artikkel 41 Teada antud asutuste tütarettevõtjad ja alltöövõtjad
---------+Artikkel 41 1.
---------+Artikkel 41 2.
---------+Artikkel 41 3.
---------+Artikkel 41 4.
------+Artikkel 42 Teada andmise taotlus
---------+Artikkel 42 1.
---------+Artikkel 42 2.
---------+Artikkel 42 3.
------+Artikkel 43 Teada andmise kord
---------+Artikkel 43 1.
---------+Artikkel 43 2.
---------+Artikkel 43 3.
---------+Artikkel 43 4.
---------+Artikkel 43 5.
---------+Artikkel 43 6.
------+Artikkel 44 Teada antud asutuste identifitseerimisnumbrid ja loetelud
---------+Artikkel 44 1.
---------+Artikkel 44 2.
------+Artikkel 45 Teavituse muudatused
---------+Artikkel 45 1.
---------+Artikkel 45 2.
------+Artikkel 46 Teada antud asutuse pädevuse vaidlustamine
---------+Artikkel 46 1.
---------+Artikkel 46 2.
---------+Artikkel 46 3.
---------+Artikkel 46 4.
------+Artikkel 47 Teada antud asutuse tegevuskohustused
---------+Artikkel 47 1.
---------+Artikkel 47 2.
---------+Artikkel 47 3.
---------+Artikkel 47 4.
---------+Artikkel 47 5.
---------+Artikkel 47 6.
------+Artikkel 48 Teada antud asutuste otsuste vaidlustamine
------+Artikkel 49 Teada antud asutuse teabekohustus
---------+Artikkel 49 1.
---------+Artikkel 49 2.
------+Artikkel 50 Kogemuste vahetamine
------+Artikkel 51 Teada antud asutuste tegevuse koordineerimine
---------+Artikkel 51 1.
---------+Artikkel 51 2.
---+V PEATÜKK TURUJÄRELEVALVE JA TÄITMISE TAGAMINE
------+Artikkel 52 Digielemente sisaldavate toodete turujärelevalve ja kontroll liidu turul
---------+Artikkel 52 1.
---------+Artikkel 52 2.
---------+Artikkel 52 3.
---------+Artikkel 52 4.
---------+Artikkel 52 5.
---------+Artikkel 52 6.
---------+Artikkel 52 7.
---------+Artikkel 52 8.
---------+Artikkel 52 9.
---------+Artikkel 52 10.
---------+Artikkel 52 11.
---------+Artikkel 52 12.
---------+Artikkel 52 13.
---------+Artikkel 52 14.
---------+Artikkel 52 15.
---------+Artikkel 52 16.
------+Artikkel 53 Juurdepääs andmetele ja dokumentatsioonile
------+Artikkel 54 Olulist küberriski põhjustava digielemente sisaldava toote riikliku tasandi menetlus
---------+Artikkel 54 1.
---------+Artikkel 54 2.
---------+Artikkel 54 3.
---------+Artikkel 54 4.
---------+Artikkel 54 5.
---------+Artikkel 54 6.
---------+Artikkel 54 7.
---------+Artikkel 54 8.
---------+Artikkel 54 9.
------+Artikkel 55 Liidu kaitsemeetmete menetlus
---------+Artikkel 55 1.
---------+Artikkel 55 2.
---------+Artikkel 55 3.
---------+Artikkel 55 4.
---------+Artikkel 55 5.
------+Artikkel 56 Olulist küberriski põhjustava digielemente sisaldava toote liidu tasandi menetlus
---------+Artikkel 56 1.
---------+Artikkel 56 2.
---------+Artikkel 56 3.
---------+Artikkel 56 4.
---------+Artikkel 56 5.
---------+Artikkel 56 6.
---------+Artikkel 56 7.
------+Artikkel 57 Nõuetele vastavad digielemente sisaldavad tooted, mis kujutavad endast olulist küberriski
---------+Artikkel 57 1.
---------+Artikkel 57 2.
---------+Artikkel 57 3.
---------+Artikkel 57 4.
---------+Artikkel 57 5.
---------+Artikkel 57 6.
---------+Artikkel 57 7.
---------+Artikkel 57 8.
---------+Artikkel 57 9.
---------+Artikkel 57 10.
---------+Artikkel 57 11.
------+Artikkel 58 Vormiline nõuetele mittevastavus
---------+Artikkel 58 1.
---------+Artikkel 58 2.
------+Artikkel 59 Turujärelevalveasutuste ühismeetmed
---------+Artikkel 59 1.
---------+Artikkel 59 2.
---------+Artikkel 59 3.
---------+Artikkel 59 4.
---------+Artikkel 59 5.
------+Artikkel 60 Lauskontrollid
---------+Artikkel 60 1.
---------+Artikkel 60 2.
---------+Artikkel 60 3.
---------+Artikkel 60 4.
---------+Artikkel 60 5.
---+VI PEATÜKK DELEGEERITUD VOLITUSED JA KOMITEEMENETLUS
------+Artikkel 61 Delegeeritud volituste rakendamine
---------+Artikkel 61 1.
---------+Artikkel 61 2.
---------+Artikkel 61 3.
---------+Artikkel 61 4.
---------+Artikkel 61 5.
---------+Artikkel 61 6.
------+Artikkel 62 Komiteemenetlus
---------+Artikkel 62 1.
---------+Artikkel 62 2.
---------+Artikkel 62 3.
---+VII PEATÜKK KONFIDENTSIAALSUS JA KARISTUSED
------+Artikkel 63 Konfidentsiaalsus
---------+Artikkel 63 1.
---------+Artikkel 63 2.
---------+Artikkel 63 3.
---------+Artikkel 63 4.
------+Artikkel 64 Karistused
---------+Artikkel 64 1.
---------+Artikkel 64 2.
---------+Artikkel 64 3.
---------+Artikkel 64 4.
---------+Artikkel 64 5.
---------+Artikkel 64 6.
---------+Artikkel 64 7.
---------+Artikkel 64 8.
---------+Artikkel 64 9.
---------+Artikkel 64 10.
------+Artikkel 65 Esindushagid
---+VIII PEATÜKK ÜLEMINEKU- JA LÕPPSÄTTED
------+Artikkel 66 Määruse (EL) 2019/1020 muutmine
------+Artikkel 67 Direktiivi (EL) 2020/1828 muutmine
------+Artikkel 68 Määruse (EL) nr 168/2013 muutmine
------+Artikkel 69 Üleminekusätted
---------+Artikkel 69 1.
---------+Artikkel 69 2.
---------+Artikkel 69 3.
------+Artikkel 70 Hindamine ja läbivaatamine
---------+Artikkel 70 1.
---------+Artikkel 70 2.
------+Artikkel 71 Jõustumine ja kohaldamine
---------+Artikkel 71 1.
---------+Artikkel 71 2.
---+I LISA OLULISED KÜBERTURVALISUSE NÕUDED
---+II LISA KASUTAJALE MÕELDUD TEAVE JA JUHISED
---+III LISA DIGIELEMENTE SISALDAVAD OLULISED TOOTED
---+IV LISA DIGIELEMENTE SISALDAVAD KRIITILISE TÄHTSUSEGA TOOTED
---+V LISA ELi VASTAVUSDEKLARATSIOON
---+VI LISA LIHTSUSTATUD ELi VASTAVUSDEKLARATSIOON
---+VII LISA TEHNILISE DOKUMENTATSIOONI SISU
---+VIII LISA VASTAVUSHINDAMISMENETLUSED
|
English -
European Union -
EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2024/2847, 23. oktoober 2024, mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrusi (EL) nr 168/2013 ja (EL) 2019/1020 ning direktiivi (EL) 2020/1828 (küberkerksuse määrus) (EMPs kohaldatav tekst)
EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2024/2847,
23. oktoober 2024,
mis käsitleb digielemente sisaldavate toodete küberturvalisuse horisontaalseid nõudeid ja millega muudetakse määrusi (EL) nr 168/2013 ja (EL) 2019/1020 ning direktiivi (EL) 2020/1828 (küberkerksuse määrus)
(EMPs kohaldatav tekst)
Käesolev määrus on tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides.
1. Ülevaade
| Pealkiri |
Regulatsioon |
|
I PEATÜKK ÜLDSÄTTED
|
I PEATÜKK ÜLDSÄTTED
|
|
II PEATÜKK ETTEVÕTJATE KOHUSTUSED NING VABA JA AVATUD LÄHTEKOODIGA TARKVARA KÄSITLEVAD NORMID
|
II PEATÜKK ETTEVÕTJATE KOHUSTUSED NING VABA JA AVATUD LÄHTEKOODIGA TARKVARA KÄSITLEVAD NORMID
|
|
III PEATÜKK DIGIELEMENTE SISALDAVA TOOTE VASTAVUS NÕUETELE
|
III PEATÜKK DIGIELEMENTE SISALDAVA TOOTE VASTAVUS NÕUETELE
|
|
IV PEATÜKK VASTAVUSHINDAMISASUTUSTEST TEATAMINE
|
IV PEATÜKK VASTAVUSHINDAMISASUTUSTEST TEATAMINE
|
|
V PEATÜKK TURUJÄRELEVALVE JA TÄITMISE TAGAMINE
|
V PEATÜKK TURUJÄRELEVALVE JA TÄITMISE TAGAMINE
|
|
VI PEATÜKK DELEGEERITUD VOLITUSED JA KOMITEEMENETLUS
|
VI PEATÜKK DELEGEERITUD VOLITUSED JA KOMITEEMENETLUS
|
|
VII PEATÜKK KONFIDENTSIAALSUS JA KARISTUSED
|
VII PEATÜKK KONFIDENTSIAALSUS JA KARISTUSED
|
|
VIII PEATÜKK ÜLEMINEKU- JA LÕPPSÄTTED
|
VIII PEATÜKK ÜLEMINEKU- JA LÕPPSÄTTED
|
|
I LISA OLULISED KÜBERTURVALISUSE NÕUDED
|
I LISA
OLULISED KÜBERTURVALISUSE NÕUDED
I osa Küberturvalisuse nõuded digielemente sisaldavate toodete omaduste kohta
1) Digielemente sisaldavaid tooteid tuleb projekteerida, arendada ja toota sellisel viisil, et need tagaksid riskidest lähtuvalt asjakohase küberturvalisuse taseme.
2) Artikli 13 lõikes 2 osutatud küberriskide hindamise alusel ja kui see on asjakohane, peavad digielemente sisaldavad tooted:
a)
olema tehtud turul kättesaadavaks ilma teadaolevate ärakasutatavate nõrkusteta;
b)
olema tehtud turul kättesaadavaks vaikimisi turvalise konfiguratsiooniga, juhul kui tootja ja ärikasutaja ei ole seoses digielemente sisaldava kohandatud tootega kokku leppinud teisiti; muu hulgas peab saama toote lähtestada algsesse olekusse;
c)
tagama, et nõrkustega saab tegeleda turvauuenduste abil, sealhulgas asjakohasel juhul automaatsete turvauuenduste abil, mis paigaldatakse asjakohase aja jooksul ja mis on aktiveeritud vaikesättena ning millel on selge ja kergesti kasutatav loobumismehhanism, teatades kasutajatele kättesaadavatest uuendustest, ning võimalus neid ajutiselt edasi lükata;
d)
tagama asjakohaste kontrollimehhanismide (sealhulgas, aga mitte ainult, autentimis-, identimis- või juurdepääsu haldamise süsteemide) abil kaitse loata juurdepääsu eest ning teatama võimalikust loata juurdepääsust;
e)
kaitsma talletatud, edastatavate või muul moel töödeldavate andmete (isikuandmed või muud andmed) konfidentsiaalsust, näiteks krüpteerides asjaomased andmed tipptasemel mehhanismidega nende jõudeoleku või edastamise ajal ja kasutades muid tehnilisi vahendeid;
f)
kaitsma talletatud, edastatavate või muul moel töödeldavate andmete (isikuandmed või muud andmed), käskude, programmide ja konfiguratsioonide terviklust mistahes manipuleerimise või muutmise eest, milleks kasutaja ei ole luba andnud, ja teatama rikkumistest;
g)
töötlema üksnes selliseid andmeid (isikuandmed või muud andmed), mis on piisavad, asjakohased ja piirduvad sellega, mis on vajalik seoses digielemente sisaldava toote sihtotstarbega (andmete minimeerimine);
h)
kaitsma oluliste ja põhifunktsioonide kättesaadavust, seda ka pärast intsidenti, sealhulgas ummistusrünnete vastu suunatud vastupidavus- ja leevendusmeetmetega;
i)
minimeerima toodete endi või ühendatud seadmete kahjulikku mõju muude seadmete või võrkude pakutavate teenuste kättesaadavusele;
j)
olema projekteeritud, arendatud ja toodetud selliselt, et ründepinnad, sh välisliidesed, oleksid võimalikult piiratud;
k)
olema projekteeritud, arendatud ja toodetud selliselt, et vähendada intsidendi mõju, kasutades asjakohaseid mehhanisme ja meetodeid ärakasutamise mõjude leevendamiseks;
l)
andma turvalisusega seotud teavet, registreerides ja seirates asjaomaseid sisetoiminguid, sh juurdepääsu andmetele, teenustele või funktsioonidele või nende muutmist, koos loobumismehhanismiga kasutajate jaoks;
m)
pakkuma kasutajatele võimalust kõik andmed ja seaded turvaliselt ja lihtsasti alaliselt eemaldada, ning juhul, kui selliseid andmeid saab edastada muudele toodetele või süsteemidele, tagama, et seda tehakse turvaliselt.
II osa Nõrkuste käsitlemise nõuded
Digielemente sisaldavate toodete tootjad peavad:
1)
tegema kindlaks ja dokumenteerima digielemente sisaldavate toodete nõrkused ja komponendid, koostades muu hulgas tarkvara koostenimekirja, mis on üldkasutatavas ja masinloetavas vormingus ning milles käsitletakse vähemalt toodete kõrgema taseme sõltuvusi;
2)
tegelema viivitamata digielemente sisaldavaid tooteid ähvardavate riskidega seotud nõrkustega ja need kõrvaldama, pakkudes muu hulgas turvauuendusi; kui see on tehniliselt teostatav, tuleb uusi turvauuendusi pakkuda funktsiooniuuendustest eraldi;
3)
tegema digielemente sisaldava toote turvalisuse kohta mõjusaid ja korrapäraseid teste ja läbivaatamisi;
4)
jagama pärast turvauuenduse kättesaadavaks tegemist teavet parandatud nõrkuste kohta ja avalikustama selle üldsusele, sh nõrkuste kirjelduse, teabe, mille põhjal kasutaja saab kindlaks teha, milliseid digielemente sisaldavaid tooteid need mõjutasid, nõrkuste mõju, raskusastme ning selge ja juurdepääsetava teabe, mis aitaks kasutajatel nõrkused kõrvaldada; igakülgselt põhjendatud juhtudel, kui tootjad leiavad, et avaldamisest tulenevad turvariskid kaaluvad üles turvalisusega seotud kasu, võivad nad parandatud nõrkust käsitleva teabe avalikustamise edasi lükata, kuni kasutajatele on antud võimalus asjaomast paika kasutada;
5)
kehtestama nõrkuste koordineeritud avalikustamise põhimõtted ja tagama nende täitmise;
6)
võtma meetmeid, et hõlbustada teabe jagamist oma digielemente sisaldava toote ja selles tootes sisalduvate kolmandate isikute komponentide võimalike nõrkuste kohta, sh esitama kontaktaadressi, kuhu teatada digielemente sisaldavas tootes avastatud nõrkustest;
7)
nägema ette digielemente sisaldavate toodete uuenduste turvalise levitamise mehhanismid, et tagada nõrkuste õigeaegne ja turvauuenduste puhul asjakohasel juhul automaatne kõrvaldamine või leevendamine;
8)
tagama, et kui kindlakstehtud turvaprobleemide lahendamiseks on olemas turvauuendused, levitatakse neid viivitamata ja juhul, kui tootja ja ärikasutaja ei ole seoses digielemente sisaldava kohandatud tootega kokku leppinud teisiti, tasuta koos nõuandvate sõnumitega, milles antakse kasutajatele asjakohast teavet muu hulgas meetmete kohta, mida võib võtta.
|
|
II LISA KASUTAJALE MÕELDUD TEAVE JA JUHISED
|
II LISA
KASUTAJALE MÕELDUD TEAVE JA JUHISED
Digielemente sisaldava tootega peab kaasas olema vähemalt järgmine teave:
1.
tootja nimi, registreeritud kaubanimi või registreeritud kaubamärk ning postiaadress, e-posti aadress või muud digitaalsed kontaktandmed, ja kui see on olemas, veebisait, mille kaudu saab tootjaga ühendust võtta;
2.
ühtne kontaktpunkt, kuhu võib saata ja kus võetakse vastu teavet digielemente sisaldava toote nõrkuste kohta ning kust võib leida tootja nõrkuste koordineeritud avalikustamise põhimõtted;
3.
nimi ja tüüp ning mis tahes lisateave, mille põhjal saab digielemente sisaldava toote kordumatult tuvastada;
4.
digielemente sisaldava toote sihtotstarve, sh tootja poolt ette nähtud turvakeskkond, ning toote olulised funktsioonid ja teave turvaomaduste kohta;
5.
kõik teadaolevad või prognoositavad asjaolud, mis on seotud digielemente sisaldava toote kasutamisega vastavalt selle sihtotstarbele või mõistlikult prognoositava väärkasutamise tingimustes, mis võivad põhjustada olulisi küberriske;
6.
kui see on asjakohane, siis internetiaadress, kus saab juurde pääseda ELi vastavusdeklaratsioonile;
7.
see, millist liiki tehnilist turvatuge tootja pakub, ja toe kestuse, mille jooksul võivad kasutajad eeldada, et nõrkustega tegeletakse ja neile pakutakse turvauuendusi, lõppkuupäev;
8.
üksikasjalikud juhised või internetiaadress, mis viitab sellistele üksikasjalikele juhistele ja teabele selle kohta:
a)
millised on vajalikud meetmed toote esmasel kasutuselevõtmisel ja toote kasutusea jooksul, et tagada digielemente sisaldava toote turvaline kasutamine;
b)
kuidas digielemente sisaldava toote muutmine võib mõjutada andmete turvalisust;
c)
kuidas saab paigaldada turvalisuse seisukohast olulisi uuendusi;
d)
kuidas digielemente sisaldav toode turvaliselt kasutusest kõrvaldada, sh teave selle kohta, kuidas kasutaja andmed turvaliselt eemaldada;
e)
kuidas saab I lisa I osa punktis c nõutud turvauuenduste automaatset paigaldamist võimaldava vaikesätte välja lülitada;
f)
kui digielemente sisaldav toode on ette nähtud integreerimiseks muudesse digielemente sisaldavatesse toodetesse, siis teave, mis on vajalik integreerija jaoks, et järgida I lisas sätestatud olulisi küberturvalisuse nõudeid ja VII lisas sätestatud dokumenteerimisnõudeid;
9.
kui tootja otsustab teha tarkvara koostenimekirja kasutajale kättesaadavaks, siis teave selle kohta, kust on võimalik tarkvara koostenimekirjale juurde pääseda.
|
|
III LISA DIGIELEMENTE SISALDAVAD OLULISED TOOTED
|
III LISA
DIGIELEMENTE SISALDAVAD OLULISED TOOTED
I klass
1. Identiteedihalduse süsteemide ja eelisjuurdepääsu haldamise tarkvara ja riistvara, sh autentimis- ja juurdepääsu kontrolli lugerid, kaasa arvatud biomeetriliste andmete lugerid
2. Autonoomsed ja sisseehitatud veebibrauserid
4. Tarkvara, mis otsib pahavara, kõrvaldab selle või paneb karantiini
5. Digielemente sisaldavad tooted, millel on virtuaalse privaatvõrgu (VPN) funktsioon
6. Võrguhalduse süsteemid
7. Turvateabe ja -sündmuste haldamise (SIEM) süsteemid
9. Avaliku võtme taristu ja digisertifikaatide väljaandmise tarkvara
10. Füüsilised ja virtuaalsed võrguliidesed
11. Operatsioonisüsteemid
12. Ruuterid, internetiühenduse jaoks mõeldud modemid ja kommutaatorid
13. Turvafunktsioonidega mikroprotsessorid
14. Turvafunktsioonidega mikrokontrollerid
15. Turvafunktsioonidega rakendusspetsiifilised integraallülitused (ASIC) ja programmeeritavad ventiilimaatriksid (FPGA)
16. Nutikodu üldotstarbelised virtuaalassistendid
17. Turvafunktsioonidega nutikodu tooted, sh arukad ukselukud, turvakaamerad, beebimonitorisüsteemid ja häiresüsteemid
18. Euroopa Parlamendi ja nõukogu direktiiviga 2009/48/EÜ (
4
) hõlmatud internetiühendusega mänguasjad, millel on interaktiivsed sotsiaalfunktsioonid (nt rääkimine või filmimine) või millel on asukoha jälgimise funktsioonid
19. Inimkehal kantavad või inimkehale paigutatavad isiklikud kantavad tooted, millel on terviseseire (nt jälgimise) eesmärk ja mille suhtes ei kohaldata määrust (EL) 2017/745 või määrust (EL) 2017/746, või isiklikud kantavad tooted, mis on ette nähtud kasutamiseks laste poolt ja lastel
II klass
1. Hüperviisorid ja konteinerite käigusüsteemid, mis toetavad operatsioonisüsteemide ja samalaadsete keskkondade virtualiseeritud käitamist
2. Tulemüürid, sissetungi tuvastamise ja ennetamise süsteemid
3. Muukimiskindlad mikroprotsessorid
4. Muukimiskindlad mikrokontrollerid
|
|
IV LISA DIGIELEMENTE SISALDAVAD KRIITILISE TÄHTSUSEGA TOOTED
|
IV LISA
DIGIELEMENTE SISALDAVAD KRIITILISE TÄHTSUSEGA TOOTED
1. Turvalaegastega riistvaraseadmed
2. Euroopa Parlamendi ja nõukogu direktiivi (EL) 2019/944 (
5
) artikli 2 punktis 23 määratletud nutiarvestisüsteemide nutiarvestite lüüsid ja muud seadmed kõrgema turvalisuse tagamiseks, sh turvaliseks krüptotöötluseks
3. Kiipkaardid või sarnased seadmed, sh turvaelemendid
|
|
V LISA ELi VASTAVUSDEKLARATSIOON
|
V LISA
ELi VASTAVUSDEKLARATSIOON
Artiklis 28 osutatud ELi vastavusdeklaratsioon peab sisaldama kogu järgmist teavet.
1.
Nimi ja tüüp ning mis tahes lisateave, mille põhjal saab digielemente sisaldava toote kordumatult tuvastada
2.
Tootja või tema volitatud esindaja nimi ja aadress
3.
Märge, et ELi vastavusdeklaratsioon on väljastatud üksnes pakkuja vastutusel
4.
Deklareeritav toode (digielemente sisaldava toote identifitseerimine, mis võimaldab toodet jälgida, millega võib olla kaasas ka foto, kui see on asjakohane)
5.
Kinnitus, et eelkirjeldatud deklareeritav toode on kooskõlas asjaomaste liidu ühtlustamisõigusaktidega
6.
Viited kasutatud asjaomastele harmoneeritud standarditele või muule ühtsele spetsifikatsioonile või küberturvalisuse sertifitseerimisele, millele vastavust deklareeritakse
7.
Kui see on asjakohane, siis teada antud asutuse nimi ja number, vastavushindamismenetluse kirjeldus ja väljastatud sertifikaadi tunnusnumber
8.
Lisateave:
Allkirjastanud (kes ja kelle nimel):
(väljaandmise koht ja kuupäev)
(nimi, ametinimetus) (allkiri):
|
|
VI LISA LIHTSUSTATUD ELi VASTAVUSDEKLARATSIOON
|
VI LISA
LIHTSUSTATUD ELi VASTAVUSDEKLARATSIOON
Artikli 13 lõikes 20 osutatud lihtsustatud ELi vastavusdeklaratsioon esitatakse järgmisel kujul.
Käesolevaga kinnitab … [tootja nimi], et … [digielemente sisaldava toote tüübi nimetus] tüüpi digielemente sisaldav toode vastab määruse (EL) 2024/2847 (
6
) nõuetele. ELi vastavusdeklaratsiooni täistekst on kättesaadav järgmisel internetiaadressil:
|
|
VII LISA TEHNILISE DOKUMENTATSIOONI SISU
|
VII LISA
TEHNILISE DOKUMENTATSIOONI SISU
Artiklis 31 osutatud tehniline dokumentatsioon peab sisaldama asjaomase digielemente sisaldava toote kohta vähemalt järgmist teavet:
1.
digielemente sisaldava toote üldine kirjeldus, sealhulgas:
b)
tarkvara versioonid, mis mõjutavad seadme vastavust olulistele küberturvalisuse nõuetele;
c)
kui digielemente sisaldav toode on riistvaratoode, siis fotod või illustratsioonid, mis kujutavad toote väliseid tunnuseid, märgistust ja sisemist struktuuri;
d)
II lisas sätestatud kasutajatele mõeldud teave ja juhised;
2.
digielemente sisaldava toote projekteerimise, arendamise ja tootmise ning nõrkuste käsitlemise protsesside kirjeldus, sealhulgas:
a)
vajalik teave digielemente sisaldava toote projekteerimise ja arendamise kohta, sh, kui see on asjakohane, joonised ja skeemid ja süsteemi arhitektuuri kirjeldus, mis selgitavad, kuidas tarkvarakomponendid üksteisele tuginevad või üksteisele sisendit annavad ja kuidas need on üldisesse töötlemisse integreeritud;
b)
vajalik teave ja spetsifikatsioonid tootja kehtestatud nõrkuste käsitlemise protsesside kohta, sh tarkvara koostenimekiri, nõrkuste koordineeritud avalikustamise põhimõtted, tõendid selle kohta, et on esitatud kontaktaadress, millele nõrkustest teatada, ja uuenduste turvaliseks levitamiseks valitud tehniliste lahenduste kirjeldus;
c)
vajalik teave ja spetsifikatsioonid digielemente sisaldava toote tootmise ja seire protsesside ning nende protsesside valideerimise kohta;
3.
käesoleva määruse artikli 13 kohane hinnang küberriskidele, mille tõrjumiseks digielemente sisaldav toode on projekteeritud, arendatud, toodetud, tarnitud ja hooldatud, nagu on sätestatud artiklis 13, sealhulgas see, kuidas on kohaldatavad I lisa I osas sätestatud olulised küberturvalisuse nõuded;
4.
asjakohane teave, mida võeti artikli 13 lõike 8 kohaselt arvesse digielemente sisaldava toote toe kestuse kindlaksmääramisel;
5.
loetelu täielikult või osaliselt kohaldatavatest harmoneeritud standarditest, mille viitenumbrid on avaldatud Euroopa Liidu Teatajas, käesoleva määruse artiklis 27 sätestatud ühtsetest spetsifikatsioonidest või määruse (EL) 2019/881 kohaselt vastu võetud Euroopa küberturvalisuse sertifitseerimise kavadest vastavalt käesoleva määruse artikli 27 lõikele 8, ning kui kõnealuseid harmoneeritud standardeid, ühtseid spetsifikatsioone või Euroopa küberturvalisuse sertifitseerimise kavasid ei ole kohaldatud, siis nende lahenduste kirjeldused, mis on vastu võetud, et järgida I lisa I ja II osas sätestatud olulisi küberturvalisuse nõudeid, sealhulgas muude kohaldatud asjakohaste tehniliste spetsifikatsioonide loetelu. Osaliselt kohaldatud harmoneeritud standardite, ühtsete spetsifikatsioonide või Euroopa küberturvalisuse sertifitseerimise kavade puhul täpsustatakse tehnilises dokumentatsioonis osad, mida on kohaldatud;
6.
aruanded testide kohta, mis on tehtud, et kontrollida digielemente sisaldava toote ja nõrkuste käsitlemise protsesside vastavust I lisa I ja II osas sätestatud kohaldatavatele olulistele küberturvalisuse nõuetele;
7.
ELi vastavusdeklaratsiooni koopia;
8.
kui see on asjakohane, tarkvara koostenimekiri turujärelevalveasutuse põhjendatud taotluse korral, kui see on vajalik, et kõnealune asutus saaks kontrollida vastavust I lisas sätestatud olulistele küberturvalisuse nõuetele.
|
|
VIII LISA VASTAVUSHINDAMISMENETLUSED
|
VIII LISA
VASTAVUSHINDAMISMENETLUSED
I osa Sisekontrollil põhinev vastavushindamine (põhineb moodulil A)
1. Sisekontroll on vastavushindamismenetlus, mille puhul tootja täidab käesoleva osa punktides 2, 3 ja 4 sätestatud kohustusi ning tagab ja kinnitab oma ainuvastutusel, et digielemente sisaldavad tooted vastavad kõigile I lisa I osas sätestatud olulistele küberturvalisuse nõuetele ning tootja vastab I lisa II osas sätestatud olulistele küberturvalisuse nõuetele.
2. Tootja koostab VII lisas kirjeldatud tehnilise dokumentatsiooni.
3. Digielemente sisaldavate toodete projekteerimine, arendamine, tootmine ja nõrkuste käsitlemine
Tootja võtab kõik vajalikud meetmed, et toodete projekteerimise, arendamise, tootmise ja nõrkuste käsitlemise protsessid ja nende seire tagaksid valmistatud või väljatöötatud digielemente sisaldava toote ja tootja kehtestatud protsesside vastavuse I lisa I ja II osas sätestatud olulistele küberturvalisuse nõuetele.
4. Vastavusmärgis ja vastavusdeklaratsioon
4.1. Tootja kinnitab CE-vastavusmärgise igale digielemente sisaldavale tootele, mis vastab käesoleva määruse kohaselt sätestatud nõuetele.
4.2. Tootja koostab iga digielemente sisaldava toote kohta kirjaliku ELi vastavusdeklaratsiooni vastavalt artiklile 28 ja säilitab seda koos tehnilise dokumentatsiooniga riiklike ametiasutuste jaoks kättesaadavana kümne aasta jooksul pärast digielemente sisaldava toote turule laskmist või toe kestuse ajal, olenevalt sellest, kumb on pikem. ELi vastavusdeklaratsioonis märgitakse ära digielemente sisaldav toode, mille kohta deklaratsioon on koostatud. ELi vastavusdeklaratsiooni koopia tehakse asjaomaste ametiasutuste nõudmisel neile kättesaadavaks.
Punktis 4 sätestatud tootja kohustusi võib tootja nimel ja vastutusel täita tema volitatud esindaja, kui asjakohased kohustused on volituses täpsustatud.
II osa ELi tüübihindamine (põhineb moodulil B)
1. ELi tüübihindamine on vastavushindamismenetluse osa, mille käigus teada antud asutus hindab digielemente sisaldava toote tehnilist projekti ja arendust ja tootja kehtestatud nõrkuste käsitlemise protsesse ning kinnitab, et digielemente sisaldav toode vastab I lisa I osas sätestatud olulistele küberturvalisuse nõuetele ja tootja vastab I lisa II osas sätestatud olulistele küberturvalisuse nõuetele.
2. ELi tüübihindamiseks hinnatakse digielemente sisaldava toote tehnilise projekti ja arenduse vastavust, kontrollides tehnilist dokumentatsiooni ja punktis 3 osutatud täiendavaid tõendeid ning kontrollides toote ühe või mitme kriitilise tähtsusega osa näidiseid (toote- ja konstruktsioonitüübi kombinatsioon).
3. Tootja esitab ELi tüübihindamise taotluse ühele enda valitud teada antud asutusele.
Taotlus sisaldab järgmist:
3.1.
tootja nimi ja aadress ning kui taotluse on esitanud volitatud esindaja, siis volitatud esindaja nimi ja aadress;
3.2.
kirjalik kinnitus selle kohta, et sama taotlust ei ole esitatud ühelegi teisele teada antud asutusele;
3.3.
tehniline dokumentatsioon, mille põhjal saab hinnata digielemente sisaldava toote vastavust I lisa I osas sätestatud kohaldatavatele olulistele nõuetele ja tootja nõrkuste käsitlemise protsesside vastavust I lisa II osas sätestatule, ning ühtlasi peab see sisaldama piisavat analüüsi ja hinnangut riskide kohta. Tehnilises dokumentatsioonis määratakse kindlaks kohaldatavad nõuded ja käsitletakse digielemente sisaldava toote projekteerimist, tootmist ja tööpõhimõtet hindamiseks vajalikul määral. Tehniline dokumentatsioon sisaldab, kui see on asjakohane, vähemalt VII lisas sätestatud elemente;
3.4.
tõendusmaterjal tehnilise projekti ja arenduslahenduste ning nõrkuste käsitlemise protsesside piisavuse kohta. Tõendusmaterjalis tuleb nimetada kõik kasutatud dokumendid, eelkõige juhul, kui asjaomaseid harmoneeritud standardeid või tehnilisi spetsifikatsioone ei ole täielikult kohaldatud. Vajaduse korral sisaldab tõendusmaterjal tootja asjakohases laboris või tootja nimel ja tema vastutusel mõnes teises testimislaboris tehtud testide tulemusi.
4. Teada antud asutus teeb järgmist:
4.1.
vaatab läbi tehnilise dokumentatsiooni ja tõendusmaterjali, et hinnata digielemente sisaldava toote tehnilise projekti ja arenduse vastavust I lisa I osas sätestatud olulistele küberturvalisuse nõuetele ning tootja kehtestatud nõrkuste käsitlemise protsesside vastavust I lisa II osas sätestatud olulistele küberturvalisuse nõuetele;
4.2.
kontrollib, kas näidised on välja töötatud või valmistatud vastavalt tehnilisele dokumentatsioonile, ja teeb kindlaks nii need elemendid, mis on projekteeritud ja arendatud vastavalt asjaomaste harmoneeritud standardite või tehniliste spetsifikatsioonide kohaldatavatele sätetele, kui ka elemendid, mille projekteerimisel ja arendamisel ei ole nende standardite asjaomaseid sätteid kohaldatud;
4.3.
teeb või laseb teha asjaomased kontrollid ja testid, et selgitada välja, kas juhtudel, kui tootja on otsustanud kohaldada I lisas sätestatud nõuete jaoks asjaomastes harmoneeritud standardites või tehnilistes spetsifikatsioonides esitatud lahendusi, on neid kohaldatud korrektselt;
4.4.
teeb või laseb teha asjaomased kontrollid ja testid, et selgitada välja, kas juhtudel, kui I lisas sätestatud nõuete jaoks ei ole asjaomastes harmoneeritud standardites või tehnilistes spetsifikatsioonides esitatud lahendusi kohaldatud, vastavad tootja kasutatud lahendused asjaomastele küberturvalisuse olulistele nõuetele;
4.5.
lepib tootjaga kokku kontrollide ja vajalike testide sooritamise koha.
5. Teada antud asutus koostab hindamisaruande, kuhu on märgitud vastavalt punktile 4 ellu viidud tegevused ja nende tulemused. Ilma et see piiraks teada antud asutuse kohustusi teavitavate asutuste ees, avalikustab teada antud asutus nimetatud aruande sisu kas täielikult või osaliselt ainult tootja loal.
6. Kui tüüp ja nõrkuste käsitlemise protsessid vastavad I lisas sätestatud olulistele küberturvalisuse nõuetele, väljastab teada antud asutus tootjale ELi tüübihindamissertifikaadi. Sertifikaat sisaldab tootja nime ja aadressi, kontrollide põhjal tehtud järeldusi, kehtivustingimusi (kui on) ja vajalikke andmeid kinnitatud tüübi ja nõrkuste käsitlemise protsesside identifitseerimiseks. Sertifikaadile võib olla lisatud üks või mitu lisa.
Sertifikaat ja selle lisad sisaldavad kogu asjaomast teavet, mis võimaldab hinnata valmistatud või väljatöötatud digielemente sisaldavate toodete vastavust kontrollitud tüübile ja nõrkuste käsitlemise protsessidele ning teha vajaduse korral kasutuskontrolli.
Kui tüüp ja nõrkuste käsitlemise protsessid ei vasta I lisas sätestatud kohaldatavatele olulistele küberturvalisuse nõuetele, keeldub teada antud asutus ELi tüübihindamissertifikaadi väljaandmisest ning teavitab sellest taotlejat, põhjendades keeldumist üksikasjalikult.
7. Teada antud asutus hoiab ennast kursis üldtunnustatud tehnika taseme muutustega, mis annavad märku sellest, et kinnitatud tüüp ja nõrkuste käsitlemise protsessid ei pruugi enam vastata I lisas sätestatud kohaldatavatele olulistele küberturvalisuse nõuetele, ning otsustab, kas sellised muutused nõuavad edasist uurimist. Kui uuringud on vajalikud, teavitab teada antud asutus sellest tootjat.
Tootja teavitab ELi tüübihindamissertifikaadiga seotud tehnilist dokumentatsiooni hoidvat teada antud asutust kõigist kinnitatud tüübi ja nõrkuste käsitlemise protsesside muudatustest, mis võivad mõjutada vastavust I lisas sätestatud olulistele küberturvalisuse nõuetele või sertifikaadi kehtivustingimusi. Sellised muudatused tuleb täiendavalt heaks kiita ja vormistada esialgse ELi tüübihindamissertifikaadi lisana.
8. Teada antud asutus teeb korrapäraselt auditeid tagamaks, et I lisa II osas sätestatud nõrkuste käsitlemise protsesse rakendatakse nõuetekohaselt.
9. Iga teada antud asutus teavitab oma teavitavaid asutusi enda väljastatud või tühistatud ELi tüübihindamissertifikaatidest ja nende lisadest ning teeb teavitavatele asutustele regulaarselt või nende taotluse korral kättesaadavaks nimekirja sertifikaatidest ja nende lisadest, mille andmisest keelduti, mis peatati või mida muul viisil piirati.
Iga teada antud asutus teavitab teisi teada antud asutusi ELi tüübihindamissertifikaatidest ja nende lisadest, mille andmisest ta on keeldunud, mille ta on tühistanud, peatanud või mida ta on muul viisil piiranud, ning taotluse korral ka enda väljastatud sertifikaatidest ja nende lisadest.
Komisjon, liikmesriigid ja teised teada antud asutused võivad taotluse korral saada ELi tüübihindamissertifikaadi ja kõigi selle lisade koopia. Komisjon ja liikmesriigid võivad taotluse korral saada tehnilise dokumentatsiooni ja teada antud asutuse tehtud kontrollide tulemuste koopia. Teada antud asutus hoiab ELi tüübihindamissertifikaadi ning selle lisade ja täienduste koopia ning tootja esitatud dokumentatsiooni sisaldava tehnilise toimiku alles kuni nimetatud sertifikaadi kehtivusaja lõpuni.
10. Tootja hoiab ELi tüübihindamissertifikaadi ning selle lisade ja täienduste koopia koos tehnilise dokumentatsiooniga riiklike ametiasutuste jaoks kättesaadavana kümne aasta jooksul pärast digielemente sisaldava toote turule laskmist või toe kestuse ajal, olenevalt sellest, kumb on pikem.
11. Tootja volitatud esindaja võib esitada punktis 3 osutatud taotluse ning täita punktides 7 ja 10 sätestatud kohustusi, kui asjakohased kohustused on volituses täpsustatud.
III osa Tootmise sisekontrollil põhinev tüübivastavus (põhineb moodulil C)
1. Tootmise sisekontrollil põhinev tüübivastavus on vastavushindamismenetluse osa, mille puhul tootja täidab käesoleva osa punktides 2 ja 3 sätestatud kohustusi ning tagab ja kinnitab, et asjaomased digielemente sisaldavad tooted vastavad ELi tüübihindamissertifikaadis kirjeldatud tüübile ja I lisa I osas sätestatud olulistele küberturvalisuse nõuetele ning tootja vastab I lisa II osas sätestatud olulistele küberturvalisuse nõuetele.
Tootja võtab kõik vajalikud meetmed, et tootmine ja selle järelevalve tagaksid valmistatud digielemente sisaldava toote vastavuse ELi tüübihindamissertifikaadis kirjeldatud kinnitatud tüübile ja I lisa I osas sätestatud olulistele küberturvalisuse nõuetele, ning tagab, et tootja vastab I lisa II osas sätestatud olulistele küberturvalisuse nõuetele.
3. Vastavusmärgis ja vastavusdeklaratsioon
3.1.
Tootja kinnitab CE-vastavusmärgise igale digielemente sisaldavale tootele, mis vastab ELi tüübihindamissertifikaadis kirjeldatud tüübile ja käesolevas määruses sätestatud nõuetele.
3.2.
Tootja koostab iga tootemudeli kohta kirjaliku vastavusdeklaratsiooni ja säilitab seda riiklike ametiasutuste jaoks kättesaadavana kümne aasta jooksul pärast digielemente sisaldava toote turule laskmist või toe kestuse ajal, olenevalt sellest, kumb on pikem. Vastavusdeklaratsioonis määratletakse toote mudel, mille kohta see koostati. Vastavusdeklaratsiooni koopia tehakse asjaomaste ametiasutuste nõudmisel neile kättesaadavaks.
Punktis 3 sätestatud tootja kohustusi võib tootja nimel ja vastutusel täita tema volitatud esindaja, kui asjakohased kohustused on volituses täpsustatud.
IV osa Täielikul kvaliteedi tagamisel põhinev vastavus (põhineb moodulil H)
1. Täielikul kvaliteedi tagamisel põhinev vastavus on vastavushindamismenetlus, mille puhul tootja täidab käesoleva osa punktides 2 ja 5 sätestatud kohustusi ning tagab ja kinnitab oma ainuvastutusel, et asjaomased digielemente sisaldavad tooted või tootekategooriad vastavad I lisa I osas sätestatud olulistele küberturvalisuse nõuetele ning tootja kehtestatud nõrkuste käsitlemise protsessid vastavad I lisa II osas sätestatud nõuetele.
2. Digielemente sisaldavate toodete projekteerimine, arendamine, tootmine ja nõrkuste käsitlemine
Tootja kasutab asjaomaste digielemente sisaldavate toodete projekteerimiseks, arendamiseks ja lõpptoodangu kontrollimiseks ja katsetamiseks ning nõrkuste käsitlemiseks punktis 3 nimetatud heakskiidetud kvaliteedisüsteemi, säilitab selle toimivuse kogu toe kestuse jooksul, ning tema suhtes kohaldatakse punktis 4 nimetatud järelevalvet.
3.1.
Tootja esitab taotluse kvaliteedisüsteemi hindamiseks asjakohaste digielemente sisaldavate toodete puhul enda valitud teada antud asutusele.
Taotlus sisaldab järgmist:
a)
tootja nimi ja aadress ning kui taotluse on esitanud volitatud esindaja, siis volitatud esindaja nimi ja aadress;
b)
tehniline dokumentatsioon iga sellise digielemente sisaldavate toodete kategooria ühe mudeli kohta, mida kavatsetakse valmistada või välja töötada. Tehniline dokumentatsioon sisaldab, kui see on asjakohane, vähemalt VII lisas sätestatud elemente;
c)
kvaliteedisüsteemi käsitlev dokumentatsioon ning
d)
kirjalik kinnitus selle kohta, et sama taotlust ei ole esitatud ühelegi teisele teada antud asutusele.
3.2.
Kvaliteedisüsteem tagab digielemente sisaldavate toodete vastavuse I lisa I osas sätestatud olulistele küberturvalisuse nõuetele ning tootja kehtestatud nõrkuste käsitlemise protsesside vastavuse I lisa II osas sätestatud nõuetele.
Kõik tootja poolt vastu võetud elemendid, nõuded ja sätted tuleb süstemaatiliselt ja korrektselt dokumenteerida kirjalike tegevuspõhimõtete, menetluste ja juhistena. Kvaliteedisüsteemi dokumentatsioon peab võimaldama kvaliteedikavade, -plaanide, -käsiraamatute ja -aruannete ühtset tõlgendamist.
Eelkõige peab see sisaldama piisavat kirjeldust järgmise kohta:
a)
kvaliteedieesmärgid ja organisatsiooniline struktuur ning juhtkonna kohustused ja volitused seoses projekteerimise, arendamise, tootekvaliteedi ja nõrkuste käsitlemisega;
b)
tehnilise projekti ja arenduse spetsifikatsioonid, sealhulgas kohaldatavad standardid, ning kui asjaomaseid harmoneeritud standardeid või tehnilisi spetsifikatsioone ei kohaldata täies ulatuses, vahendid, millega tagatakse, et digielemente sisaldavate toodete suhtes kohaldatavad I lisa I osas sätestatud olulised küberturvalisuse nõuded täidetakse;
c)
menetluste spetsifikatsioonid, sealhulgas kohaldatavad standardid, ning kui asjaomaseid harmoneeritud standardeid või tehnilisi spetsifikatsioone ei kohaldata täies ulatuses, vahendid, millega tagatakse, et tootjate suhtes kohaldatavad I lisa II osas sätestatud olulised küberturvalisuse nõuded täidetakse;
d)
projekteerimise ja arendamise järelevalve- ja kontrollimeetodid, asjaomasesse digielemente sisaldavate toodete kategooriasse kuuluvate toodete projekteerimisel ja arendamisel kasutatavad protsessid ja süstemaatilised meetmed;
e)
kasutatavad tootmise, kvaliteedikontrolli ja kvaliteedi tagamise meetodid, protsessid ja süstemaatilised meetmed;
f)
enne tootmist, selle vältel ja pärast seda tehtavad kontrollimised ja testid ning nende sagedus;
g)
kvaliteediandmestikud, näiteks kontrolliaruanded ning testimis- ja kalibreerimisandmed ja asjaomaste töötajate kvalifikatsiooni käsitlevad aruanded;
h)
vahendid, mis võimaldavad jälgida toote nõutud projekteerimis- ja tootekvaliteedi saavutamist ja kvaliteedisüsteemi tulemuslikku toimimist.
3.3.
Teada antud asutus hindab kvaliteedisüsteemi, et teha kindlaks, kas see vastab punktis 3.2 osutatud nõuetele.
Teada antud asutus peab nõuetele vastavaks neid kvaliteedisüsteemi elemente, mis vastavad riikliku standardi spetsifikatsioonidele, mille puhul rakendatakse asjaomast harmoneeritud standardit või tehnilist spetsifikatsiooni.
Lisaks kvaliteedisüsteemialastele kogemustele peab auditirühmas olema vähemalt üks liige, kellel on asjaomase valdkonna ja tootetehnoloogia hindamise kogemus ning kes tunneb käesoleva määruses sätestatud nõudeid. Auditi käigus tehakse kontrollkäik tootja valdustesse, kui sellised valdused on olemas. Auditirühm vaatab läbi punkti 3.1 punktis b osutatud tehnilise dokumentatsiooni, et kontrollida, kas tootja suudab kindlaks teha käesoleva määruse sätestatud nõuded ja teostada vajalikke kontrolle, et tagada digielemente sisaldava toote vastavus nimetatud nõuetele.
Otsusest teatatakse tootjale või tema volitatud esindajale.
Teade sisaldab auditi põhjal tehtud järeldusi ning põhjendatud hindamisotsust.
3.4.
Tootja kohustub täitma heakskiidetud kvaliteedisüsteemist tulenevaid kohustusi ja hoidma süsteemi asjakohase ja tõhusana.
3.5.
Tootja teatab kvaliteedisüsteemi kinnitanud teada antud asutusele kvaliteedisüsteemi mis tahes kavandatud muudatusest.
Teada antud asutus hindab kavandatavaid muudatusi ja otsustab, kas muudetud kvaliteedisüsteem vastab punktis 3.2 osutatud nõuetele või on vaja uut hindamist.
Teada antud asutus teavitab oma otsusest tootjat. Teavitus sisaldab hindamise järeldusi ning põhjendatud hindamisotsust.
4. Järelevalve, mille eest vastutab teada antud asutus
4.1.
Järelevalve eesmärk on tagada, et tootja täidab heakskiidetud kvaliteedisüsteemist tulenevaid kohustusi nõuetekohaselt.
4.2.
Tootja võimaldab teada antud asutusele hindamiseks juurdepääsu projekteerimis-, arendamis-, tootmis-, kontrollimis- ja testimiskohtadele ning laoruumidele ja esitab talle kogu vajaliku teabe, eelkõige:
a)
kvaliteedisüsteemi dokumentatsiooni;
b)
kvaliteedisüsteemi projekteerimist käsitlevas osas ette nähtud kvaliteediandmestikud, nagu analüüsitulemused, arvutused ja testid;
c)
kvaliteedisüsteemi tootmist käsitlevas osas ettenähtud kvaliteediandmestikud, nagu kontrolliaruanded ning testimis- ja kalibreerimisandmed ja asjaomaste töötajate kvalifikatsiooni käsitlevad aruanded.
4.3.
Teada antud asutus teostab korrapäraselt auditeid tagamaks, et tootja säilitab ja rakendab kvaliteedisüsteemi, ja esitab tootjale selle kohta auditiaruande.
5. Vastavusmärgis ja vastavusdeklaratsioon
5.1.
Tootja kinnitab igale digielemente sisaldavale tootele, mis vastab I lisa I osas sätestatud nõuetele, CE-vastavusmärgise ja punktis 3.1osutatud teada antud asutuse vastutusel selle asutuse identifitseerimisnumbri.
5.2.
Tootja koostab iga tootemudeli kohta kirjaliku vastavusdeklaratsiooni ja säilitab seda riiklike ametiasutuste jaoks kättesaadavana kümne aasta jooksul pärast digielemente sisaldava toote turule laskmist või toe kestuse ajal, olenevalt sellest, kumb on pikem. Vastavusdeklaratsioonis määratletakse toote mudel, mille kohta see koostati.
Vastavusdeklaratsiooni koopia tehakse asjaomaste ametiasutuste nõudmisel neile kättesaadavaks.
6. Tootja säilitab riiklike ametiasutuste jaoks kättesaadavana vähemalt kümne aasta jooksul pärast digielemente sisaldava toote turule laskmist või toe kestuse ajal, olenevalt sellest, kumb on pikem:
a)
punktis 3.1 osutatud tehnilise dokumentatsiooni;
b)
punktis 3.1 osutatud kvaliteedisüsteemi käsitleva dokumentatsiooni;
c)
punktis 3.5 osutatud muudatuse heakskiidetud kujul;
d)
punktides 3.5 ja 4.3 osutatud teada antud asutuse otsused ja aruanded.
7. Iga teada antud asutus teatab oma teavitavatele asutustele kvaliteedisüsteemidele antud heakskiitudest või heakskiidu tühistamistest ja teeb oma teavitavatele asutustele perioodiliselt või nende taotlusel kättesaadavaks nimekirja juhtumitest, mil kvaliteedisüsteemi heakskiitmisest keelduti, heakskiit peatati või heakskiitu muul viisil piirati.
Iga teada antud asutus teatab teistele teada antud asutustele juhtumitest, mil ta keeldus kvaliteedisüsteemi heakskiitmisest, peatas heakskiidu või tühistas selle, ning taotluse korral ka kvaliteedisüsteemidele tema poolt antud heakskiitudest.
Punktides 3.1, 3.5, 5 ja 6 sätestatud tootja kohustusi võib täita tema nimel ja vastutusel tema volitatud esindaja, kui asjakohased kohustused on volituses täpsustatud.
Selle õigusakti kohta on tehtud avaldus, mis on leitav ELTs C, C/2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Viited
1.2 Tuvastatud nõuded
1.3 Seotud standardid
2. Tuvastatud nõuded
3. Seotud standardid
Lingitud teemad
|