CAPITOLUL I DISPOZIȚII GENERALE

norme pentru punerea la dispoziție pe piață a produselor cu elemente digitale în vederea asigurării securității cibernetice a acestor produse;

cerințe esențiale de securitate cibernetică pentru proiectarea, dezvoltarea și producția de produse cu elemente digitale, precum și obligațiile operatorilor economici în legătură cu aceste produse în ceea ce privește securitatea cibernetică;

cerințe esențiale de securitate cibernetică pentru procesele de gestionare a vulnerabilităților instituite de producători pentru a asigura securitatea cibernetică a produselor cu elemente digitale pe durata în care se preconizează că produsele vor fi utilizate, precum și obligațiile operatorilor economici în legătură cu aceste procese;

normele privind supravegherea pieței, inclusiv monitorizarea, și asigurarea respectării normelor și cerințelor menționate la prezentul articol.

„produs cu elemente digitale” înseamnă un produs software sau hardware și soluțiile sale de prelucrare de date la distanță, inclusiv componentele software sau hardware introduse pe piață separat;

„prelucrare de date la distanță” înseamnă prelucrarea de date la distanță pentru care software-ul este proiectat și dezvoltat de producător sau sub responsabilitatea producătorului și a cărei absență ar împiedica produsul cu elemente digitale să își îndeplinească vreuna dintre funcții;

„securitate cibernetică” înseamnă securitate cibernetică în sensul definiției de la articolul 2 alineatul (1) din Regulamentul (UE) 2019/881;

„software” înseamnă acea parte a unui sistem informatic electronic care constă într-un cod informatic;

„hardware” înseamnă un sistem informatic electronic fizic, sau anumite părți ale acestuia, capabil să prelucreze, să stocheze sau să transmită date digitale;

„componentă” înseamnă un software sau un hardware destinat integrării într-un sistem informatic electronic;

„sistem informatic electronic” înseamnă un sistem, incluzând echipamentele electrice sau electronice, capabil să prelucreze, să stocheze sau să transmită date digitale;

„conexiune logică” înseamnă o reprezentare virtuală a unei conexiuni de date implementată printr-o interfață software;

„conexiune fizică” înseamnă o conexiune între sisteme informatice electronice sau componente implementată prin mijloace fizice, inclusiv prin interfețe electrice, optice sau mecanice, fire sau unde radio;

„conexiune indirectă” înseamnă o conexiune la un dispozitiv sau la o rețea care nu are loc direct, ci ca parte a unui sistem mai mare care este conectabil direct la un astfel de dispozitiv sau rețea;

„punct terminal” înseamnă orice dispozitiv care este conectat la o rețea și servește ca punct de intrare în rețeaua respectivă;

„operator economic” înseamnă producătorul, reprezentantul autorizat, importatorul sau distribuitorul, sau o altă persoană fizică sau juridică care este supusă obligațiilor privind fabricarea produselor cu elemente digitale sau punerea la dispoziție a produselor cu elemente digitale pe piață în conformitate cu prezentul regulament;

„producător” înseamnă o persoană fizică sau juridică care dezvoltă sau fabrică produse cu elemente digitale sau pentru care sunt proiectate, dezvoltate sau fabricate produsele cu elemente digitale și care le comercializează sub numele sau marca sa, contra cost, pentru monetizare sau gratuit;

„administrator de software cu sursă deschisă” înseamnă o persoană juridică, alta decât un producător, care are scopul sau obiectivul de a oferi în mod sistematic și durabil sprijin pentru dezvoltarea de produse specifice cu elemente digitale, care se califică drept software gratuit și cu sursă deschisă și sunt destinate unor activități comerciale, și care asigură viabilitatea produselor respective;

„reprezentant autorizat” înseamnă o persoană fizică sau juridică stabilită în Uniune, care a primit din partea unui producător un mandat scris de a acționa în numele său pentru îndeplinirea unor sarcini determinate;

„importator” înseamnă o persoană fizică sau juridică stabilită în Uniune care introduce pe piață un produs cu elemente digitale care poartă numele sau marca unei persoane fizice sau juridice stabilite în afara Uniunii;

„distribuitor” înseamnă o persoană fizică sau juridică din lanțul de aprovizionare, alta decât producătorul sau importatorul, care pune la dispoziție un produs cu elemente digitale pe piața Uniunii fără a-i afecta proprietățile;

„consumator” înseamnă o persoană fizică care acționează în scopuri care nu sunt legate de activitățile sale comerciale, de afaceri, artizanale sau profesionale;

„microîntreprinderi”, „întreprinderi mici” și „întreprinderi mijlocii” înseamnă, respectiv, microîntreprinderi, întreprinderi mici și întreprinderi mijlocii în sensul definiției din anexa la Recomandarea 2003/361/CE;

„perioadă de asistență” înseamnă perioada în care un producător trebuie să se asigure că vulnerabilitățile unui produs cu elemente digitale sunt gestionate în mod eficace și în conformitate cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II;

„introducere pe piață” înseamnă punerea la dispoziție pentru prima oară a unui produs cu elemente digitale pe piața Uniunii;

„punere la dispoziție pe piață” înseamnă furnizarea unui produs cu elemente digitale pentru distribuție sau utilizare pe piața Uniunii, în cadrul unei activități comerciale, contra cost sau gratuit;

„scop preconizat” înseamnă utilizarea care a fost preconizată de către producător a unui produs cu elemente digitale, inclusiv contextul și condițiile specifice de utilizare, astfel cum se specifică în informațiile oferite de furnizor în instrucțiunile de utilizare, în materialele și în declarațiile promoționale sau de vânzare, precum și în documentația tehnică;

„utilizare previzibilă în mod rezonabil” înseamnă o utilizare care nu este neapărat scopul preconizat specificat de producător în instrucțiunile de utilizare, în materialele și în declarațiile promoționale sau de vânzare, precum și în documentația tehnică, dar care este probabil să rezulte din comportamentul uman sau din operațiuni tehnice sau interacțiuni previzibile în mod rezonabil;

„utilizare necorespunzătoare previzibilă în mod rezonabil” înseamnă utilizarea unui produs cu elemente digitale într-un mod care nu este conform cu scopul său preconizat, dar care poate rezulta din comportamentul uman sau interacțiunea previzibilă în mod rezonabil cu alte sisteme;

„autoritate de notificare” înseamnă autoritatea națională responsabilă cu instituirea și îndeplinirea procedurilor necesare pentru evaluarea, desemnarea și notificarea organismelor de evaluare a conformității și pentru monitorizarea acestora;

„evaluare a conformității” înseamnă procesul de verificare a îndeplinirii cerințelor esențiale de securitate cibernetică prevăzute în anexa I;

„organism de evaluare a conformității” înseamnă un organism de evaluare a conformității în sensul definiției de la articolul 2 punctul 13 din Regulamentul (CE) nr. 765/2008;

„organism notificat” înseamnă un organism de evaluare a conformității desemnat în conformitate cu articolul 43 și cu legislația relevantă de armonizare a Uniunii;

„modificare substanțială” înseamnă o modificare a produsului cu elemente digitale în urma introducerii sale pe piață care afectează conformitatea produsului cu elemente digitale cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I sau care are ca rezultat o modificare a scopului preconizat pentru care a fost evaluat respectivul produs cu elemente digitale;

„marcaj CE” înseamnă un marcaj prin care un producător indică faptul că un produs cu elemente digitale și procesele instituite de producător sunt conforme cu cerințele esențiale de securitate cibernetică prevăzute în anexa I și în alte acte legislative de armonizare aplicabile ale Uniunii care prevăd aplicarea acestuia;

„legislație de armonizare a Uniunii” înseamnă legislația Uniunii enumerată în anexa I la Regulamentul (UE) 2019/1020 și orice alte acte legislative ale Uniunii care armonizează condițiile de comercializare a produselor cărora li se aplică regulamentul respectiv;

„autoritate de supraveghere a pieței” înseamnă o autoritate de supraveghere a pieței în sensul definiției de la articolul 3 punctul 4 din Regulamentul (UE) 2019/1020;

„standard internațional” înseamnă un standard internațional în sensul definiției de la articolul 2 punctul 1 litera (a) din Regulamentul (UE) nr. 1025/2012;

„standard european” înseamnă un standard european în sensul definiției de la articolul 2 punctul 1 litera (b) din Regulamentul (UE) nr. 1025/2012;

„standard armonizat” înseamnă un standard armonizat în sensul definiției de la articolul 2 punctul 1 litera (c) din Regulamentul (UE) nr. 1025/2012;

„risc de securitate cibernetică” înseamnă potențialul de pierderi sau perturbări cauzate de un incident și se exprimă ca o combinație între amploarea unei astfel de pierderi sau perturbări și probabilitatea producerii incidentului respectiv;

„risc semnificativ în materie de securitate cibernetică” înseamnă un risc de securitate cibernetică despre care, pe baza caracteristicilor sale tehnice, se poate presupune că are o probabilitate ridicată de producere a unui incident care ar putea conduce la un impact negativ grav, inclusiv prin cauzarea unor perturbări sau a unor prejudicii materiale sau morale considerabile;

„listă a materialelor software” înseamnă o înregistrare oficială care conține detalii și relații din cadrul lanțului de aprovizionare ale componentelor incluse în elementele software ale unui produs cu elemente digitale;

„vulnerabilitate” înseamnă un punct slab, o susceptibilitate sau o deficiență a unui produs cu elemente digitale care poate fi exploatată de o amenințare cibernetică;

„vulnerabilitate exploatabilă” înseamnă o vulnerabilitate care poate fi utilizată în mod eficace de un adversar în condiții operaționale practice;

„vulnerabilitate exploatată activ” înseamnă o vulnerabilitate în privința căreia există dovezi fiabile că a fost exploatată de un actor rău-intenționat într-un sistem fără permisiunea proprietarului sistemului;

„incident” înseamnă un incident în sensul definiției de la articolul 6 punctul 6 din Directiva (UE) 2022/2555;

„incident care are un impact asupra securității produsului cu elemente digitale” înseamnă un incident care afectează în mod negativ sau poate afecta în mod negativ capacitatea unui produs cu elemente digitale de a proteja disponibilitatea, autenticitatea, integritatea sau confidențialitatea unor date sau funcții;

„incident evitat la limită” înseamnă un incident evitat la limită în sensul definiției de la articolul 6 punctul 5 din Directiva (UE) 2022/2555;

„amenințare cibernetică” înseamnă o amenințare cibernetică în sensul definiției de la articolul 2 punctul 8 din Regulamentul (UE) 2019/881;

„date cu caracter personal” înseamnă date cu caracter personal în sensul definiției de la articolul 4 punctul 1 din Regulamentul (UE) 2016/679;

„software liber și cu sursă deschisă” înseamnă un software al cărui cod sursă este partajat în mod deschis și care este pus la dispoziție sub licență liberă și cu sursă deschisă ce prevede toate drepturile necesare pentru ca software-ul să fie accesibil, utilizabil, modificabil și redistribuibil în mod liber;

„rechemare” înseamnă o rechemare în sensul definiției de la articolul 3 punctul 22 din Regulamentul (UE) 2019/1020;

„retragere” înseamnă o retragere în sensul definiției de la articolul 3 punctul 23 din Regulamentul (UE) 2019/1020;

„CSIRT desemnată drept coordonator” înseamnă o CSIRT desemnată drept coordonator în temeiul articolului 12 alineatul (1) din Directiva (UE) 2022/2555.

îndeplinesc cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I, cu condiția să fie instalate, întreținute, utilizate în mod corespunzător pentru scopul preconizat sau în condiții care pot fi prevăzute în mod rezonabil și, după caz, au fost instalate actualizările de securitate necesare, și

procesele instituite de producător respectă cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II.

dezvoltarea competențelor în materie de securitate cibernetică și crearea de instrumente organizaționale și tehnologice pentru a asigura disponibilitatea unui număr suficient de profesioniști calificați, cu scopul de a sprijini activitățile autorităților de supraveghere a pieței și ale organismelor de evaluare a conformității;

intensificarea colaborării dintre sectorul privat, operatorii economici, inclusiv prin recalificarea sau perfecționarea profesională a angajaților producătorilor, consumatori, furnizorii de formare, precum și administrațiile publice, extinzând astfel opțiunile de care dispun tinerii de a avea acces la locuri de muncă în sectorul securității cibernetice.