|
+ANEXA VIII PROCEDURI DE EVALUARE A CONFORMITĂȚII |
ANEXA VIII PROCEDURI DE EVALUARE A CONFORMITĂȚII
ANEXA VIII PROCEDURI DE EVALUARE A CONFORMITĂȚII Partea I Procedura de evaluare a conformității bazată pe control intern (pe baza modulului A) 1. Controlul intern este procedura de evaluare a conformității prin care producătorul îndeplinește obligațiile prevăzute la punctele 2, 3 și 4 din prezenta parte și garantează și declară pe răspunderea sa exclusivă că produsele cu elemente digitale îndeplinesc toate cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II. 2. Producătorul întocmește documentația tehnică descrisă în anexa VII. 3. Proiectarea, dezvoltarea, producția și gestionarea vulnerabilităților produselor cu elemente digitale. Producătorul ia toate măsurile necesare pentru ca procesele de proiectare, dezvoltare, producție și gestionare a vulnerabilităților, precum și monitorizarea acestora să asigure conformitatea produselor cu elementele digitale care sunt fabricate sau dezvoltate și a proceselor instituite de producător cu cerințele esențiale de securitate cibernetică prevăzute în anexa I părțile I și II. 4. Marcajul de conformitate și declarația de conformitate 4.1. Producătorul aplică marcajul CE pe fiecare produs cu elemente digitale în parte care îndeplinește cerințele aplicabile prevăzute în prezentul regulament. 4.2. Producătorul întocmește o declarație de conformitate UE în scris pentru fiecare produs cu elemente digitale în conformitate cu articolul 28 și o păstrează, împreună cu documentația tehnică, la dispoziția autorităților naționale timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. Declarația de conformitate UE trebuie să identifice tipul de produs pentru care a fost întocmită. O copie a declarației de conformitate UE trebuie să fie pusă la dispoziția autorităților relevante, la cerere. 5. Reprezentanți autorizați Obligațiile producătorului stabilite la punctul 4 pot fi îndeplinite de către reprezentantul său autorizat, în numele său și pe răspunderea sa, cu condiția ca obligațiile relevante să fie menționate în mandat. Partea II Examinarea UE de tip (pe baza modulului B) 1. Examinarea UE de tip este acea parte a procedurii de evaluare a conformității prin care un organism notificat examinează proiectarea și dezvoltarea tehnică a unui produs cu elemente digitale și procesele de gestionare a vulnerabilităților instituite de producător și atestă că un produs cu elemente digitale îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II. 2. Examinarea UE de tip se efectuează prin evaluarea caracterului adecvat al proiectării și dezvoltării tehnice a produsului cu elemente digitale prin examinarea documentației tehnice și a documentelor justificative menționate la punctul 3 și prin examinarea unor exemplare ale uneia sau mai multor părți critice ale produsului (combinație de tip de producție și tip de proiectare). 3. Producătorul trebuie să înainteze o cerere de examinare UE de tip către un singur organism notificat, la alegerea sa. Cererea trebuie să cuprindă:
3.1.
denumirea și adresa producătorului, iar dacă cererea este depusă de reprezentantul autorizat, se precizează și numele și adresa respectivului reprezentant autorizat;
3.2.
o declarație scrisă care să precizeze că nu a fost depusă o cerere identică la un alt organism notificat;
3.3.
documentația tehnică, care trebuie să permită evaluarea conformității produsului cu elemente digitale cu cerințele esențiale de securitate cibernetică aplicabile prevăzute în anexa I partea I și a proceselor de gestionare a vulnerabilităților ale producătorului cu cerințele esențiale aplicabile prevăzute în anexa I partea II și să includă o analiză și o evaluare adecvată a riscurilor. Documentația tehnică trebuie să specifice cerințele aplicabile și să acopere, în măsura în care acest lucru este relevant pentru evaluare, proiectarea, fabricarea și exploatarea produsului cu elemente digitale. Documentația tehnică trebuie să cuprindă, ori de câte ori este necesar, elementele menționate în anexa VII;
3.4.
documentele justificative pentru caracterul adecvat al soluțiilor de proiectare și dezvoltare tehnică și al proceselor de gestionare a vulnerabilităților. Aceste documente justificative trebuie să menționeze orice document care a fost utilizat, în special atunci când standardele relevante armonizate sau specificațiile tehnice relevante nu au fost aplicate în întregime. Documentele justificative includ, în cazul în care este necesar, rezultatele testelor efectuate în numele său ori pe răspunderea sa de laboratorul corespunzător al producătorului sau de un alt laborator de testare. 4. Organismul de certificare notificat:
4.1.
examinează documentația tehnică și documentele justificative pentru a evalua dacă proiectarea și dezvoltarea tehnică a produsului cu elemente digitale sunt adecvate în raport cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și dacă procesele de gestionare a vulnerabilităților instituite de producător sunt adecvate în raport cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II;
4.2.
verifică dacă exemplarele au fost dezvoltate sau produse în conformitate cu documentația tehnică și identifică elementele care au fost proiectate și dezvoltate în conformitate cu dispozițiile aplicabile din standardele armonizate sau specificațiile tehnice relevante, precum și elementele care au fost proiectate și dezvoltate fără a se aplica dispozițiile relevante ale acestor standarde;
4.3.
efectuează examinările și testele corespunzătoare sau dispune efectuarea acestora pentru a verifica, în cazul în care producătorul a ales să aplice soluțiile din standardele armonizate sau specificațiile tehnice relevante pentru cerințele prevăzute în anexa I, dacă acestea au fost aplicate corect;
4.4.
efectuează examinările și testele corespunzătoare sau dispune efectuarea acestora pentru a verifica, în cazul în care nu au fost aplicate soluțiile din standardele armonizate sau specificațiile tehnice relevante pentru cerințele prevăzute în anexa I, dacă soluțiile adoptate de către producător îndeplinesc cerințele esențiale de securitate cibernetică corespunzătoare;
4.5.
stabilește de comun acord cu producătorul locul în care vor fi efectuate examinările și testele. 5. Organismul notificat întocmește un raport de evaluare care evidențiază activitățile întreprinse, conform punctului 4, precum și rezultatele acestora. Fără a aduce atingere obligațiilor sale față de autoritățile de notificare, organismul notificat nu divulgă conținutul acestui raport, în întregime sau parțial, decât cu acordul producătorului. 6. În cazul în care tipul și procesele de gestionare a vulnerabilităților îndeplinesc cerințele esențiale de securitate cibernetică prevăzute în anexa I, organismul notificat eliberează producătorului un certificat de examinare UE de tip. Certificatul trebuie să conțină denumirea și adresa producătorului, concluziile examinării, condițiile (dacă există) pentru valabilitatea certificatului și datele necesare pentru identificarea tipului aprobat și a proceselor de gestionare a vulnerabilităților. Certificatul poate avea una sau mai multe anexe. Certificatul și anexele acestuia trebuie să conțină toate informațiile relevante care să permită evaluarea conformității cu tipul examinat a produselor cu elemente digitale fabricate sau dezvoltate și a proceselor de gestionare a vulnerabilităților și care permit controlul în utilizare. În cazul în care tipul și procesele de gestionare a vulnerabilităților nu îndeplinesc cerințele esențiale de securitate cibernetică aplicabile prevăzute în anexa I, organismul notificat refuză emiterea unui certificat de examinare UE de tip și informează solicitantul în consecință, precizând în detaliu motivele refuzului. 7. Organismul notificat se informează în permanență cu privire la orice modificări ale stadiului actual al tehnologiei general recunoscut, care indică posibilitatea ca tipul aprobat și procesele de gestionare a vulnerabilităților să nu mai îndeplinească cerințele esențiale de securitate cibernetică aplicabile prevăzute în anexa I și stabilește dacă aceste modificări necesită investigații suplimentare. În acest caz, organismul notificat informează producătorul în consecință. Producătorul informează organismul notificat care deține documentația tehnică referitoare la certificatul de examinare UE de tip cu privire la toate modificările tipului aprobat și ale proceselor de gestionare a vulnerabilităților care pot influența conformitatea cu cerințele esențiale de securitate cibernetică prevăzute în anexa I sau cu condițiile de valabilitate ale certificatului respectiv. Aceste modificări necesită o aprobare suplimentară sub forma unui supliment la certificatul inițial de examinare UE de tip. 8. Organismul notificat efectuează audituri periodice pentru a se asigura că procesele de gestionare a vulnerabilităților prevăzute în anexa I partea II sunt implementate în mod adecvat. 9. Fiecare organism notificat își informează autoritățile de notificare în legătură cu certificatele de examinare UE de tip și eventualele suplimente la acestea pe care le-a emis sau retras și, în mod periodic sau la cerere, pune la dispoziția autorităților sale de notificare lista certificatelor și a eventualelor suplimente la acestea care au fost refuzate, suspendate sau restricționate în alt mod. Fiecare organism notificat informează celelalte organisme notificate în legătură cu certificatele de examinare UE de tip și eventualele suplimente la acestea pe care le-a refuzat, retras, suspendat sau restricționat în alt mod și, la cerere, în legătură cu certificatele și suplimentele la acestea pe care le-a emis. Comisia, statele membre și celelalte organisme notificate pot obține, la cerere, o copie a certificatelor de examinare UE de tip și a oricăror suplimente la acestea. Pe baza unei cereri, Comisia și statele membre pot obține o copie a documentației tehnice și a rezultatelor examinărilor efectuate de organismul notificat. Organismul notificat păstrează un exemplar al certificatului de examinare UE de tip, al anexelor și suplimentelor acestuia, precum și dosarul tehnic incluzând documentația depusă de producător, până la expirarea valabilității certificatului. 10. Producătorul păstrează la dispoziția autorităților naționale o copie a certificatului de examinare UE de tip, a anexelor și a suplimentelor acestuia, împreună cu documentația tehnică, timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. 11. Reprezentantul autorizat al producătorului poate depune cererea menționată la punctul 3 și poate îndeplini obligațiile prevăzute la punctele 7 și 10, cu condiția ca obligațiile relevante să fie menționate în mandat. Partea III Conformitatea cu tipul bazată pe controlul intern al producției (pe baza modulului C) 1. Conformitatea cu tipul bazată pe controlul intern al producției este acea parte a procedurii de evaluare a conformității prin care producătorul îndeplinește obligațiile prevăzute la punctele 2 și 3 din prezenta parte și garantează și declară că produsele cu elemente digitale în cauză sunt conforme cu tipul descris în certificatul de examinare UE de tip și respectă cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II. 2. Producția Producătorul ia toate măsurile necesare pentru ca procesul de producție și monitorizarea acestuia să asigure conformitatea produselor fabricate cu elemente digitale cu tipul aprobat descris în certificatul de examinare UE de tip și cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și se asigură că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II. 3. Marcajul de conformitate și declarația de conformitate
3.1.
Producătorul aplică marcajul CE pe fiecare produs cu elemente digitale în parte care este conform cu tipul descris în certificatul de examinare UE de tip și care îndeplinește cerințele aplicabile prevăzute în prezentul regulament.
3.2.
Producătorul întocmește o declarație de conformitate scrisă pentru un model de produs și o păstrează la dispoziția autorităților naționale timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. Declarația de conformitate trebuie să identifice modelul produsului pentru care a fost întocmită. O copie a declarației de conformitate trebuie să fie pusă la dispoziția autorităților relevante, la cerere. 4. Reprezentantul autorizat Obligațiile producătorului prevăzute la punctul 3 pot fi îndeplinite de către reprezentantul său autorizat, în numele său și pe răspunderea sa, cu condiția ca obligațiile relevante să fie menționate în mandat. Partea IV Conformitatea bazată pe asigurarea totală a calității (pe baza modulului H) 1. Conformitatea bazată pe asigurarea totală a calității este procedura de evaluare a conformității prin care producătorul îndeplinește obligațiile prevăzute la punctele 2 și 5 din prezenta parte și garantează și declară pe răspunderea sa exclusivă că produsele cu elemente digitale sau categoriile de produse în cauză îndeplinesc cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că procesele de gestionare a vulnerabilităților instituite de producător îndeplinesc cerințele prevăzute în anexa I partea II. 2. Proiectarea, dezvoltarea, producția și gestionarea vulnerabilităților produselor cu elemente digitale Producătorul utilizează un sistem de calitate aprobat, astfel cum se specifică la punctul 3, pentru proiectarea, dezvoltarea și inspecția și testarea produsului final pentru produsele cu elemente digitale în cauză și pentru gestionarea vulnerabilităților, menține eficacitatea acestuia pe parcursul întregii perioade de asistență și este supus supravegherii specificate la punctul 4. 3. Sistemul de calitate
3.1.
Producătorul înaintează o cerere de evaluare a sistemului de calitate către un organism notificat la alegerea sa, pentru produsele cu elemente digitale în cauză. Cererea trebuie să cuprindă:
(a)
denumirea și adresa producătorului, iar dacă cererea este depusă de reprezentantul autorizat, se precizează și numele și adresa respectivului reprezentant autorizat;
(b)
documentația tehnică pentru un singur model din fiecare categorie de produse cu elemente digitale care urmează a fi fabricate sau dezvoltate. Documentația tehnică trebuie să cuprindă, oricând este cazul, elementele menționate în anexa VII;
(c)
documentația referitoare la sistemul de calitate; și
(d)
o declarație scrisă care să precizeze că nu fost depusă o cerere identică la un alt organism notificat.
3.2.
Sistemul de calitate asigură conformitatea produselor cu elemente digitale cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și conformitatea proceselor de gestionare a vulnerabilităților instituite de producător cu cerințele prevăzute în anexa I partea II. Toate elementele, cerințele și dispozițiile adoptate de către producător trebuie să fie consemnate în documente în mod sistematic și ordonat sub formă de politici, proceduri și instrucțiuni scrise. Documentația sistemului de calitate trebuie să permită o interpretare consecventă a programelor, planurilor, manualelor și înregistrărilor privind calitatea. Documentația trebuie să cuprindă în special o descriere adecvată:
(a)
a obiectivelor referitoare la calitate și a structurii organizatorice, a responsabilităților și a competențelor personalului de conducere cu privire la proiectarea, dezvoltarea și calitatea produselor și la gestionarea vulnerabilităților;
(b)
a specificațiilor privind proiectarea și dezvoltarea tehnică, inclusiv a standardelor, care vor fi aplicate și, în cazul în care standardele armonizate sau specificațiile tehnice relevante nu vor fi aplicate în totalitate, a mijloacelor care vor fi folosite pentru a asigura respectarea cerințelor esențiale de securitate cibernetică prevăzute în anexa I partea I care se aplică produselor cu elemente digitale respective;
(c)
a specificațiilor privind procedurile, inclusiv a standardelor, care vor fi aplicate, și, în cazul în care standardele armonizate și/sau specificațiile tehnice relevante nu vor fi aplicate în totalitate, a mijloacelor care vor fi folosite pentru a asigura respectarea cerințelor esențiale de securitate cibernetică prevăzute în anexa I partea II care se aplică producătorului respectiv;
(d)
a tehnicilor de control al proiectării și dezvoltării, precum și a tehnicilor de verificare a proiectării și dezvoltării, a proceselor și a acțiunilor sistematice care vor fi utilizate la proiectarea și dezvoltarea produselor cu elemente digitale ce aparțin categoriei de produse vizate;
(e)
a tehnicilor corespunzătoare de producție, de control al calității și de asigurare a calității, a proceselor și a acțiunilor sistematice care vor fi utilizate;
(f)
a examinărilor și a testelor care vor fi efectuate înaintea, în cursul și în urma producției, precum și a frecvenței cu care vor fi efectuate;
(g)
a înregistrărilor referitoare la calitate, cum ar fi rapoarte de inspecție și informații referitoare la teste, precum și date privind etalonarea și rapoarte referitoare la calificarea personalului implicat;
(h)
a mijloacelor de monitorizare privind atingerea calității cerute a proiectului și a produsului și funcționarea eficace a sistemului de calitate.
3.3.
Organismul notificat evaluează sistemul de calitate pentru a stabili dacă acesta îndeplinește cerințele menționate la punctul 3.2. Acesta prezumă conformitatea cu cerințele respective pentru elementele sistemului de calitate care sunt conforme cu specificațiile corespunzătoare ale standardului național care pune în aplicare standardul armonizat sau specificațiile tehnice relevante. Pe lângă experiența în sisteme de management al calității, echipa de audit trebuie să aibă cel puțin un membru cu experiență de evaluator în domeniul produsului relevant și al tehnologiei produsului în cauză și să cunoască cerințele aplicabile prevăzute în prezentul regulament. Auditul trebuie să includă o vizită de evaluare la sediul producătorului, în cazul în care există un astfel de sediu. Echipa de audit analizează documentația tehnică menționată la punctul 3.1 litera (b) în vederea verificării capacității producătorului de a identifica cerințele aplicabile prevăzute în prezentul regulament și a efectuării examinărilor necesare cu scopul de a asigura conformitatea produsului cu elemente digitale cu aceste cerințe. Decizia este notificată producătorului sau reprezentantului autorizat al acestuia. Notificarea trebuie să cuprindă concluziile procesului de audit și decizia motivată referitoare la evaluare.
3.4.
Producătorul se angajează să îndeplinească obligațiile care decurg din sistemul de calitate astfel cum a fost aprobat și să îl mențină astfel încât acesta să rămână adecvat și eficace.
3.5.
Producătorul informează în permanență organismul notificat care a aprobat sistemul de calitate în legătură cu orice intenție de modificare a sistemului de calitate. Organismul notificat evaluează modificările propuse și decide dacă sistemul de calitate modificat va continua să îndeplinească cerințele menționate la punctul 3.2 sau dacă este necesară o reevaluare. Organismul notificat notifică decizia sa producătorului. Notificarea trebuie să cuprindă concluziile examinării și decizia motivată referitoare la evaluare. 4. Supravegherea care intră în sfera de responsabilitate a organismului notificat
4.1.
Scopul supravegherii este acela de a asigura îndeplinirea corespunzătoare de către producător a obligațiilor ce decurg din sistemul de calitate aprobat.
4.2.
Producătorul autorizează accesul organismului notificat, în scopul evaluării, la spațiile de proiectare, dezvoltare, producție, inspecție, testare și depozitare și îi furnizează orice informație necesară, în special:
(a)
documentația privind sistemul de calitate;
(b)
înregistrările referitoare la calitate, astfel cum sunt prevăzute în partea sistemului de calitate destinată proiectării, de exemplu rezultatele analizelor, ale calculelor și ale testelor;
(c)
înregistrările referitoare la calitate, astfel cum sunt prevăzute în partea sistemului de calitate destinată fabricării, de exemplu rapoarte de inspecție și date privind testele, date privind etalonarea și rapoarte privind calificarea personalului în cauză.
4.3.
Organismul notificat efectuează misiuni de audit periodice pentru a se asigura că producătorul menține și aplică sistemul de calitate și prezintă producătorului un raport de audit. 5. Marcajul de conformitate și declarația de conformitate
5.1.
Producătorul aplică marcajul CE și, sub responsabilitatea organismului notificat menționat la punctul 3.1, numărul de identificare al acestuia pe fiecare produs cu elemente digitale în parte care îndeplinește cerințele prevăzute în anexa I partea I.
5.2.
Producătorul întocmește o declarație de conformitate scrisă pentru fiecare model de produs și o păstrează la dispoziția autorităților naționale timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. Declarația de conformitate trebuie să identifice modelul produsului pentru care a fost întocmită. O copie a declarației de conformitate trebuie să fie pusă la dispoziția autorităților relevante, la cerere. 6. Pe o perioadă de cel puțin 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă, producătorul menține la dispoziția autorităților naționale:
(a)
documentația tehnică menționată la punctul 3.1;
(b)
documentația privind sistemul de calitate prevăzută la punctul 3.1;
(c)
modificarea menționată la punctul 3.5, astfel cum a fost aprobată;
(d)
deciziile și rapoartele organismului notificat menționate la punctele 3.5 și 4.3. 7. Fiecare organism notificat își informează autoritățile de notificare în legătură cu aprobările sistemului de calitate care au fost emise sau retrase și, în mod periodic sau la cerere, pune la dispoziția autorităților sale de notificare lista aprobărilor sistemelor de calitate care au fost refuzate, suspendate sau restricționate în alt mod. Fiecare organism notificat informează celelalte organisme notificate în legătură cu aprobările sistemelor de calitate pe care le-a refuzat, suspendat sau retras și, la cerere, în legătură cu aprobările sistemelor de calitate pe care le-a emis. 8. Reprezentantul autorizat Obligațiile producătorului menționate la punctele 3.1, 3.5, 5 și 6 pot fi îndeplinite de către reprezentantul său autorizat, în numele său și pe răspunderea sa, cu condiția ca obligațiile relevante să fie menționate în mandat. Cu privire la acest act legislativ a fost formulată o declarație care se regăsește în JO C, C/2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj. 1. Prezentare generală
1.1 Referințe1.2 Cerințe identificate1.3 Standarde asociate2. Cerințe identificate
3. Standarde asociate
Tichete legate
|