+AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2024/2847 rendelete (2024. október 23.) a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló rendelet) (EGT-vonatkozású szöveg)
---+I. FEJEZET ÁLTALÁNOS RENDELKEZÉSEK
------+1. cikk Tárgy
------+2. cikk Hatály
---------+Article 2 1.
---------+Article 2 2.
---------+Article 2 3.
---------+Article 2 4.
---------+Article 2 5.
---------+Article 2 6.
---------+Article 2 7.
---------+Article 2 8.
------+3. cikk Fogalommeghatározások
------+4. cikk Szabad mozgás
---------+Article 4 1.
---------+Article 4 2.
---------+Article 4 3.
---------+Article 4 4.
------+5. cikk A digitális elemeket tartalmazó termékek közbeszerzése vagy használata
---------+Article 5 1.
---------+Article 5 2.
------+6. cikk A digitális elemeket tartalmazó termékekre vonatkozó követelmények
------+7. cikk Digitális elemeket tartalmazó fontos termékek
---------+Article 7 1.
---------+Article 7 2.
---------+Article 7 3.
---------+Article 7 4.
------+8. cikk Digitális elemeket tartalmazó kritikus fontosságú termékek
---------+Article 8 1.
---------+Article 8 2.
------+9. cikk Konzultáció érdekelt felekkel
---------+Article 9 1.
---------+Article 9 2.
------+10. cikk Készségfejlesztés kiberreziliens digitális környezetben
------+11. cikk Általános termékbiztonság
------+12. cikk Nagy kockázatú MI-rendszerek
---------+Article 12 1.
---------+Article 12 2.
---------+Article 12 3.
---------+Article 12 4.
---+II. FEJEZET A GAZDASÁGI SZEREPLŐK KÖTELEZETTSÉGEI ÉS A SZABAD ÉS NYÍLT FORRÁSKÓDÚ SZOFTVEREKKEL KAPCSOLATOS RENDELKEZÉSEK
------+13. cikk A gyártók kötelezettségei
---------+Article 13 1.
---------+Article 13 2.
---------+Article 13 3.
---------+Article 13 4.
---------+Article 13 5.
---------+Article 13 6.
---------+Article 13 7.
---------+Article 13 8.
---------+Article 13 9.
---------+Article 13 10.
---------+Article 13 11.
---------+Article 13 12.
---------+Article 13 13.
---------+Article 13 14.
---------+Article 13 15.
---------+Article 13 16.
---------+Article 13 17.
---------+Article 13 18.
---------+Article 13 19.
---------+Article 13 20.
---------+Article 13 21.
---------+Article 13 22.
---------+Article 13 23.
---------+Article 13 24.
---------+Article 13 25.
------+14. cikk A gyártók jelentéstételi kötelezettségei
---------+Article 14 1.
---------+Article 14 2.
---------+Article 14 3.
---------+Article 14 4.
---------+Article 14 5.
---------+Article 14 6.
---------+Article 14 7.
---------+Article 14 8.
---------+Article 14 9.
---------+Article 14 10.
------+15. cikk Önkéntes jelentéstétel
---------+Article 15 1.
---------+Article 15 2.
---------+Article 15 3.
---------+Article 15 4.
---------+Article 15 5.
------+16. cikk Egységes jelentéstételi platform létrehozása
---------+Article 16 1.
---------+Article 16 2.
---------+Article 16 3.
---------+Article 16 4.
---------+Article 16 5.
---------+Article 16 6.
------+17. cikk A jelentéstétellel összefüggő egyéb rendelkezések
---------+Article 17 1.
---------+Article 17 2.
---------+Article 17 3.
---------+Article 17 4.
---------+Article 17 5.
---------+Article 17 6.
------+18. cikk Meghatalmazott képviselők
---------+Article 18 1.
---------+Article 18 2.
---------+Article 18 3.
------+19. cikk Az importőrök kötelezettségei
---------+Article 19 1.
---------+Article 19 2.
---------+Article 19 3.
---------+Article 19 4.
---------+Article 19 5.
---------+Article 19 6.
---------+Article 19 7.
---------+Article 19 8.
------+20. cikk A forgalmazók kötelezettségei
---------+Article 20 1.
---------+Article 20 2.
---------+Article 20 3.
---------+Article 20 4.
---------+Article 20 5.
---------+Article 20 6.
------+21. cikk Esetek, amelyekben a gyártók kötelezettségei az importőrökre és a forgalmazókra vonatkoznak
------+22. cikk Egyéb esetek, amikor a gyártók kötelezettségei alkalmazandók
---------+Article 22 1.
---------+Article 22 2.
------+23. cikk A gazdasági szereplők azonosítása
---------+Article 23 1.
---------+Article 23 2.
------+24. cikk A nyílt forráskódú szoftverek támogatóira vonatkozó kötelezettségek
---------+Article 24 1.
---------+Article 24 2.
---------+Article 24 3.
------+25. cikk A szabad és nyílt forráskódú szoftver biztonsági tanúsítása
------+26. cikk Útmutatás
---------+Article 26 1.
---------+Article 26 2.
---------+Article 26 3.
---+III. FEJEZET A DIGITÁLIS ELEMEKET TARTALMAZÓ TERMÉKEK MEGFELELŐSÉGE
------+27. cikk A megfelelőség vélelme
---------+Article 27 1.
---------+Article 27 2.
---------+Article 27 3.
---------+Article 27 4.
---------+Article 27 5.
---------+Article 27 6.
---------+Article 27 7.
---------+Article 27 8.
---------+Article 27 9.
------+28. cikk EU-megfelelőségi nyilatkozat
---------+Article 28 1.
---------+Article 28 2.
---------+Article 28 3.
---------+Article 28 4.
---------+Article 28 5.
------+29. cikk A CE-jelölésre vonatkozó általános elvek
------+30. cikk A CE-jelölés elhelyezésére vonatkozó szabályok és feltételek
---------+Article 30 1.
---------+Article 30 2.
---------+Article 30 3.
---------+Article 30 4.
---------+Article 30 5.
---------+Article 30 6.
------+31. cikk Műszaki dokumentáció
---------+Article 31 1.
---------+Article 31 2.
---------+Article 31 3.
---------+Article 31 4.
---------+Article 31 5.
------+32. cikk A digitális elemeket tartalmazó termékek megfelelőségértékelési eljárásai
---------+Article 32 1.
---------+Article 32 2.
---------+Article 32 3.
---------+Article 32 4.
---------+Article 32 5.
---------+Article 32 6.
------+33. cikk A mikrovállalkozásokat és a kis- és középvállalkozásokat, köztük az induló innovatív vállalkozásokat támogató intézkedések
---------+Article 33 1.
---------+Article 33 2.
---------+Article 33 3.
---------+Article 33 4.
---------+Article 33 5.
------+34. cikk Kölcsönös elismerési megállapodások
---+IV. FEJEZET A MEGFELELŐSÉGÉRTÉKELŐ SZERVEZETEK BEJELENTÉSE
------+35. cikk Bejelentés
---------+Article 35 1.
---------+Article 35 2.
------+36. cikk Bejelentő hatóságok
---------+Article 36 1.
---------+Article 36 2.
---------+Article 36 3.
---------+Article 36 4.
------+37. cikk A bejelentő hatóságokra vonatkozó követelmények
---------+Article 37 1.
---------+Article 37 2.
---------+Article 37 3.
---------+Article 37 4.
---------+Article 37 5.
---------+Article 37 6.
------+38. cikk A bejelentő hatóságokkal kapcsolatos tájékoztatási kötelezettség
---------+Article 38 1.
---------+Article 38 2.
------+39. cikk A bejelentett szervezetekre vonatkozó követelmények
---------+Article 39 1.
---------+Article 39 2.
---------+Article 39 3.
---------+Article 39 4.
---------+Article 39 5.
---------+Article 39 6.
---------+Article 39 7.
---------+Article 39 8.
---------+Article 39 9.
---------+Article 39 10.
---------+Article 39 11.
---------+Article 39 12.
------+40. cikk A bejelentett szervezetek megfelelőségének vélelmezése
------+41. cikk A bejelentett szervezetek leányvállalatai és alvállalkozásai
---------+Article 41 1.
---------+Article 41 2.
---------+Article 41 3.
---------+Article 41 4.
------+42. cikk Bejelentés iránti kérelem
---------+Article 42 1.
---------+Article 42 2.
---------+Article 42 3.
------+43. cikk Bejelentési eljárás
---------+Article 43 1.
---------+Article 43 2.
---------+Article 43 3.
---------+Article 43 4.
---------+Article 43 5.
---------+Article 43 6.
------+44. cikk Azonosító számok és a bejelentett szervezetek listája
---------+Article 44 1.
---------+Article 44 2.
------+45. cikk A bejelentés változásai
---------+Article 45 1.
---------+Article 45 2.
------+46. cikk A bejelentett szervezetek szakmai alkalmasságának vitatása
---------+Article 46 1.
---------+Article 46 2.
---------+Article 46 3.
---------+Article 46 4.
------+47. cikk A bejelentett szervezetek működési kötelezettségei
---------+Article 47 1.
---------+Article 47 2.
---------+Article 47 3.
---------+Article 47 4.
---------+Article 47 5.
---------+Article 47 6.
------+48. cikk Fellebbezés a bejelentett szervezetek döntéseivel szemben
------+49. cikk A bejelentett szervezetek tájékoztatási kötelezettsége
---------+Article 49 1.
---------+Article 49 2.
------+50. cikk Tapasztalatcsere
------+51. cikk A bejelentett szervezetek koordinálása
---------+Article 51 1.
---------+Article 51 2.
---+V. FEJEZET PIACFELÜGYELET ÉS VÉGREHAJTÁS
------+52. cikk A digitális elemeket tartalmazó termékek piacfelügyelete és piaci ellenőrzése az uniós piacon
---------+Article 52 1.
---------+Article 52 2.
---------+Article 52 3.
---------+Article 52 4.
---------+Article 52 5.
---------+Article 52 6.
---------+Article 52 7.
---------+Article 52 8.
---------+Article 52 9.
---------+Article 52 10.
---------+Article 52 11.
---------+Article 52 12.
---------+Article 52 13.
---------+Article 52 14.
---------+Article 52 15.
---------+Article 52 16.
------+53. cikk Az adatokhoz és dokumentumokhoz való hozzáférés
------+54. cikk A jelentős kiberbiztonsági kockázatot jelentő, digitális elemeket tartalmazó termékekre vonatkozó nemzeti szintű eljárás
---------+Article 54 1.
---------+Article 54 2.
---------+Article 54 3.
---------+Article 54 4.
---------+Article 54 5.
---------+Article 54 6.
---------+Article 54 7.
---------+Article 54 8.
---------+Article 54 9.
------+55. cikk Uniós védintézkedési eljárás
---------+Article 55 1.
---------+Article 55 2.
---------+Article 55 3.
---------+Article 55 4.
---------+Article 55 5.
------+56. cikk A jelentős kiberbiztonsági kockázatot jelentő, digitális elemeket tartalmazó termékekre vonatkozó uniós szintű eljárás
---------+Article 56 1.
---------+Article 56 2.
---------+Article 56 3.
---------+Article 56 4.
---------+Article 56 5.
---------+Article 56 6.
---------+Article 56 7.
------+57. cikk Megfelelő digitális elemeket tartalmazó termékek, amelyek jelentős kiberbiztonsági kockázatot jelentenek
---------+Article 57 1.
---------+Article 57 2.
---------+Article 57 3.
---------+Article 57 4.
---------+Article 57 5.
---------+Article 57 6.
---------+Article 57 7.
---------+Article 57 8.
---------+Article 57 9.
---------+Article 57 10.
---------+Article 57 11.
------+58. cikk Az alaki megfelelés hiánya
---------+Article 58 1.
---------+Article 58 2.
------+59. cikk A piacfelügyeleti hatóságok közös tevékenységei
---------+Article 59 1.
---------+Article 59 2.
---------+Article 59 3.
---------+Article 59 4.
---------+Article 59 5.
------+60. cikk Összehangolt ellenőrzések
---------+Article 60 1.
---------+Article 60 2.
---------+Article 60 3.
---------+Article 60 4.
---------+Article 60 5.
---+VI. FEJEZET FELHATALMAZÁS ÉS BIZOTTSÁGI ELJÁRÁS
------+61. cikk A felhatalmazás gyakorlása
---------+Article 61 1.
---------+Article 61 2.
---------+Article 61 3.
---------+Article 61 4.
---------+Article 61 5.
---------+Article 61 6.
------+62. cikk Bizottsági eljárás
---------+Article 62 1.
---------+Article 62 2.
---------+Article 62 3.
---+VII. FEJEZET TITOKTARTÁS ÉS SZANKCIÓK
------+63. cikk Titoktartás
---------+Article 63 1.
---------+Article 63 2.
---------+Article 63 3.
---------+Article 63 4.
------+64. cikk Szankciók
---------+Article 64 1.
---------+Article 64 2.
---------+Article 64 3.
---------+Article 64 4.
---------+Article 64 5.
---------+Article 64 6.
---------+Article 64 7.
---------+Article 64 8.
---------+Article 64 9.
---------+Article 64 10.
------+65. cikk Képviseleti keresetek
---+VIII. FEJEZET ÁTMENETI ÉS ZÁRÓ RENDELKEZÉSEK
------+66. cikk Az (EU) 2019/1020 rendelet módosítása
------+67. cikk Az (EU) 2020/1828 irányelv módosítása
------+68. cikk A 168/2013/EU rendelet módosítása
------+69. cikk Átmeneti rendelkezések
---------+Article 69 1.
---------+Article 69 2.
---------+Article 69 3.
------+70. cikk Értékelés és felülvizsgálat
---------+Article 70 1.
---------+Article 70 2.
------+71. cikk Hatálybalépés és alkalmazás
---------+Article 71 1.
---------+Article 71 2.
---+I. MELLÉKLET ALAPVETŐ KIBERBIZTONSÁGI KÖVETELMÉNYEK
---+II. MELLÉKLET FELHASZNÁLÓI TÁJÉKOZTATÁS ÉS HASZNÁLATI ÚTMUTATÓ
---+III. MELLÉKLET DIGITÁLIS ELEMEKET TARTALMAZÓ FONTOS TERMÉKEK
---+IV. MELLÉKLET DIGITÁLIS ELEMEKET TARTALMAZÓ KRITIKUS FONTOSSÁGÚ TERMÉKEK
---+V. MELLÉKLET EU-MEGFELELŐSÉGI NYILATKOZAT
---+VI. MELLÉKLET EGYSZERŰSÍTETT EU-MEGFELELŐSÉGI NYILATKOZAT
---+VII. MELLÉKLET A MŰSZAKI DOKUMENTÁCIÓ TARTALMA
---+VIII. MELLÉKLET MEGFELELŐSÉGÉRTÉKELÉSI ELJÁRÁSOK
|
English -
European Union -
AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2024/2847 rendelete (2024. október 23.) a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló rendelet) (EGT-vonatkozású szöveg)
AZ EURÓPAI PARLAMENT ÉS A TANÁCS (EU) 2024/2847 rendelete
(2024. október 23.)
a digitális elemeket tartalmazó termékekre vonatkozó horizontális kiberbiztonsági követelményekről, valamint a 168/2013/EU és az (EU) 2019/1020 rendelet, és az (EU) 2020/1828 irányelv módosításáról (a kiberrezilienciáról szóló rendelet)
(EGT-vonatkozású szöveg)
Ez a rendelet teljes egészében kötelező és közvetlenül alkalmazandó valamennyi tagállamban.
1. Áttekintés
| Megnevezés |
Szabályozás |
|
I. FEJEZET ÁLTALÁNOS RENDELKEZÉSEK
|
I. FEJEZET ÁLTALÁNOS RENDELKEZÉSEK
|
|
II. FEJEZET A GAZDASÁGI SZEREPLŐK KÖTELEZETTSÉGEI ÉS A SZABAD ÉS NYÍLT FORRÁSKÓDÚ SZOFTVEREKKEL KAPCSOLATOS RENDELKEZÉSEK
|
II. FEJEZET A GAZDASÁGI SZEREPLŐK KÖTELEZETTSÉGEI ÉS A SZABAD ÉS NYÍLT FORRÁSKÓDÚ SZOFTVEREKKEL KAPCSOLATOS RENDELKEZÉSEK
|
|
III. FEJEZET A DIGITÁLIS ELEMEKET TARTALMAZÓ TERMÉKEK MEGFELELŐSÉGE
|
III. FEJEZET A DIGITÁLIS ELEMEKET TARTALMAZÓ TERMÉKEK MEGFELELŐSÉGE
|
|
IV. FEJEZET A MEGFELELŐSÉGÉRTÉKELŐ SZERVEZETEK BEJELENTÉSE
|
IV. FEJEZET A MEGFELELŐSÉGÉRTÉKELŐ SZERVEZETEK BEJELENTÉSE
|
|
V. FEJEZET PIACFELÜGYELET ÉS VÉGREHAJTÁS
|
V. FEJEZET PIACFELÜGYELET ÉS VÉGREHAJTÁS
|
|
VI. FEJEZET FELHATALMAZÁS ÉS BIZOTTSÁGI ELJÁRÁS
|
VI. FEJEZET FELHATALMAZÁS ÉS BIZOTTSÁGI ELJÁRÁS
|
|
VII. FEJEZET TITOKTARTÁS ÉS SZANKCIÓK
|
VII. FEJEZET TITOKTARTÁS ÉS SZANKCIÓK
|
|
VIII. FEJEZET ÁTMENETI ÉS ZÁRÓ RENDELKEZÉSEK
|
VIII. FEJEZET ÁTMENETI ÉS ZÁRÓ RENDELKEZÉSEK
|
|
I. MELLÉKLET ALAPVETŐ KIBERBIZTONSÁGI KÖVETELMÉNYEK
|
I. MELLÉKLET
ALAPVETŐ KIBERBIZTONSÁGI KÖVETELMÉNYEK
I. rész A digitális elemeket tartalmazó termékek jellemzőire vonatkozó kiberbiztonsági követelmények
(1) A digitális elemeket tartalmazó termékeket úgy kell megtervezni, fejleszteni és gyártani, hogy a kockázatok alapján megfelelő szintű kiberbiztonságot biztosítsanak.
(2) A 13. cikk (2) bekezdésében említett kiberbiztonsági kockázatértékelés alapján és adott esetben a digitális elemeket tartalmazó termékeknek a következő feltételeknek kell megfelelniük:
a)
azokat ismert, kihasználható sérülékenységek nélkül kell forgalmazni;
b)
azokat biztonságos alapértelmezett konfigurációval kell forgalmazni – kivéve, ha egy digitális elemeket tartalmazó, testre szabott termékkel kapcsolatban a gyártó és az üzleti felhasználó között ettől eltérő megállapodás születik –, beleértve a termék eredeti állapotba való visszaállításának lehetőségét is;
c)
biztosítaniuk kell, hogy a sérülékenységeket biztonsági frissítések révén kezelni lehessen, beleértve adott esetben az alapértelmezett beállításként lehetővé tett, megfelelő időkereten belül telepített automatikus biztonsági frissítéseket, egyértelmű és könnyen használható kívülmaradási mechanizmussal, a rendelkezésre álló frissítésekről a felhasználóknak küldött értesítések révén, és amelyek telepítését a felhasználó ideiglenesen elhalaszthatja;
d)
megfelelő ellenőrzési mechanizmusok – többek között hitelesítési, személyazonosság-kezelési vagy hozzáférés-kezelési rendszerek – révén biztosítaniuk kell a jogosulatlan hozzáféréssel szembeni védelmet, és jelenteniük kell az esetleges jogosulatlan hozzáférést;
e)
védeniük kell a tárolt, továbbított vagy más módon feldolgozott személyes vagy egyéb adatok titkosságát, így például a releváns inaktív vagy továbbítás alatt álló adatok legkorszerűbb mechanizmusok révén történő titkosításával, és egyéb technikai eszközök használatával;
f)
védeniük kell a tárolt, továbbított vagy más módon feldolgozott személyes vagy egyéb adatok, parancsok, programok és konfigurációk integritását a felhasználó által nem engedélyezett bármely manipulációval vagy módosítással szemben, és jelenteniük kell a sérülésekről;
g)
kizárólag olyan személyes vagy egyéb adatokat dolgozhatnak fel, amelyek megfelelőek, relevánsak és a digitális elemeket tartalmazó termék rendeltetése szempontjából szükséges mértékre korlátozódnak (»adattakarékosság«);
h)
védeniük kell az alapvető és alapszintű funkciók rendelkezésre állását, incidenst követően is, beleértve a szolgáltatásmegtagadási támadásokkal szembeni ellenállóképességet biztosító és az azok mérséklésére szolgáló intézkedéseket;
i)
minimálisra kell csökkenteniük a maguk a termékek vagy a csatlakoztatott eszközök által az egyéb eszközök vagy hálózatok által nyújtott szolgáltatások elérhetőségére gyakorolt negatív hatást;
j)
azokat úgy kell megtervezni, fejleszteni és gyártani, hogy minél kisebb legyen a támadási felület, beleértve a külső interfészeket is;
k)
azokat úgy kell megtervezni, fejleszteni és gyártani, hogy a sérülékenységek kihasználhatóságát mérséklő megfelelő mechanizmusok és technikák alkalmazásával csökkentsék az incidensek hatását;
l)
biztonsággal kapcsolatos információkat kell szolgáltatniuk a releváns belső tevékenységek rögzítése és nyomon követése révén, beleértve az adatokhoz, szolgáltatásokhoz vagy funkciókhoz való hozzáférést vagy azok módosítását, a felhasználó számára kínált elutasítási mechanizmussal;
m)
tegyék lehetővé a felhasználók számára, hogy bármikor biztonságosan és könnyen eltávolítsák az összes adatot és beállítást, és amennyiben az ilyen adatok továbbíthatók más termékekbe vagy rendszerekbe, biztosítsák, hogy ez biztonságos módon elvégezhető legyen.
II. rész A sérülékenységek kezelésére vonatkozó követelmények
A digitális elemeket tartalmazó termékek gyártóinak a következő feltételeknek kell megfelelniük:
(1)
azonosítaniuk és dokumentálniuk kell a digitális elemeket tartalmazó termékben található sérülékenységeket és alkotóelemeket, többek között egy általánosan használt és géppel olvasható formátumú szoftveranyagjegyzék elkészítésével, amely kiterjed legalább a termék felső szintű függőségeire;
(2)
a digitális elemeket tartalmazó termékekre jelentett kockázatokkal kapcsolatban haladéktalanul kezelniük és orvosolniuk kell a sérülékenységeket, többek között biztonsági frissítések biztosításával; amennyiben műszakilag megvalósítható, az új biztonsági frissítéseket a funkcionalitási frissítésektől elkülönítve kell biztosítani;
(3)
el kell végezniük a digitális elemeket tartalmazó termék biztonságának hatékony és rendszeres tesztelését és felülvizsgálatát;
(4)
a biztonsági frissítés rendelkezésre bocsátását követően meg kell osztaniuk és nyilvánosan közzé kell tenniük a kijavított sérülékenységekre vonatkozó információkat, beleértve a sérülékenységek leírását, azokat az információkat, amelyek lehetővé teszik a felhasználók számára az érintett digitális elemeket tartalmazó termék azonosítását, a sérülékenységek hatásait és súlyosságát, valamint azokat a közérthető és elérhető információkat, amelyek segítenek a felhasználónak orvosolni a sérülékenységeket; kellően indokolt esetekben, amennyiben a gyártók úgy ítélik meg, hogy a közzététel biztonsági kockázatai meghaladják a biztonsági előnyöket, elhalaszthatják a kijavított sérülékenységre vonatkozó információk nyilvánosságra hozatalát mindaddig, amíg a felhasználók lehetőséget nem kaptak a vonatkozó hibajavító csomag telepítésére;
(5)
az összehangolt sérülékenység-feltárásra vonatkozó politikát kell bevezetniük és végrehajtaniuk;
(6)
intézkedéseket kell hozniuk annak érdekében, hogy megkönnyítsék a digitális elemeket tartalmazó termékükben, valamint a termékben található, harmadik féltől származó alkotóelemekben lévő potenciális sérülékenységekre vonatkozó információk megosztását, többek között olyan elérhetőség megadásával, ahol a digitális elemeket tartalmazó termékben felfedezett sérülékenységek bejelenthetők;
(7)
a digitális elemeket tartalmazó termékekre vonatkozó frissítések biztonságos terjesztésére szolgáló mechanizmusokat kell rendelkezésre bocsátaniuk a sérülékenységek időben – és biztonsági frissítések esetében automatikusan – történő javítása vagy csökkentése érdekében;
(8)
biztosítaniuk kell, hogy amennyiben rendelkezésre állnak biztonsági frissítések az azonosított biztonsági problémák kezelése érdekében, azokat késedelem nélkül és ingyenesen terjesszék – hacsak egy digitális elemeket tartalmazó, testre szabott termékkel kapcsolatban a gyártó és az üzleti felhasználó erről nem állapodik meg másként –, a felhasználók számára releváns – többek között a lehetséges meghozandó intézkedésekre vonatkozó – információkat biztosító tájékoztató üzenetek kíséretében.
|
|
II. MELLÉKLET FELHASZNÁLÓI TÁJÉKOZTATÁS ÉS HASZNÁLATI ÚTMUTATÓ
|
II. MELLÉKLET
FELHASZNÁLÓI TÁJÉKOZTATÁS ÉS HASZNÁLATI ÚTMUTATÓ
A digitális elemeket tartalmazó termékhez csatolni kell legalább a következőket:
(1)
a gyártó nevét, bejegyzett kereskedelmi nevét vagy bejegyzett védjegyét, postai címét, e-mail-címét vagy egyéb digitális elérhetőségét, valamint – amennyiben rendelkezésre áll – azt a honlapot, amelyen keresztül a gyártóval fel lehet venni a kapcsolatot;
(2)
az egyablakos kapcsolattartó pontot, ahol a digitális elemeket tartalmazó termék sérülékenységére vonatkozó információk bejelenthetők és kaphatók, és ahol elérhető a gyártó összehangolt sérülékenységfeltárásra vonatkozó politikája;
(3)
a digitális elemeket tartalmazó termék nevét és típusát, valamint minden olyan további információt, amely lehetővé teszi annak egyedi azonosítását;
(4)
a digitális elemeket tartalmazó termék rendeltetését, beleértve a gyártó által biztosított biztonsági környezetet, valamint a termék alapvető funkcióit és a biztonsági jellemzőkre vonatkozó információkat;
(5)
bármely ismert vagy előre látható, a digitális elemeket tartalmazó termék rendeltetésszerű vagy észszerűen előrelátható rendellenes használatával összefüggő körülményt, amely jelentős kiberbiztonsági kockázatokhoz vezethet;
(6)
adott esetben azt az internetcímet, ahol az EU-megfelelőségi nyilatkozat elérhető;
(7)
a gyártó által kínált műszaki biztonsági támogatás típusát és azon támogatási időszak záró dátumát, amely alatt a felhasználók számíthatnak a sérülékenységek kezelésére és a biztonsági frissítésekre;
(8)
részletes útmutatót vagy az ilyen részletes útmutatóra hivatkozó internetcímet, valamint az alábbiakra vonatkozó információkat:
a)
a biztonságos használat biztosítása érdekében az első üzembe helyezés során és a digitális elemeket tartalmazó termék teljes élettartama alatt szükséges intézkedések;
b)
a digitális elemeket tartalmazó termék módosítása hogyan befolyásolhatja az adatok biztonságát;
c)
hogyan telepíthetők a biztonsági vonatkozású frissítések;
d)
a digitális elemeket tartalmazó termék biztonságos leszerelése, beleértve a felhasználói adatok biztonságos eltávolításának módjára vonatkozó információkat is;
e)
hogyan kapcsolható ki az I. melléklet I. része 2. pontjának c) alpontjában előírt, a biztonsági frissítések automatikus telepítését lehetővé tevő alapértelmezett beállítás;
f)
amennyiben a digitális elemeket tartalmazó terméket digitális elemeket tartalmazó más termékekbe történő integrálásra szánják, az ahhoz szükséges információk, hogy a integrálást végző fél megfeleljen az I. mellékletben meghatározott alapvető kiberbiztonsági követelményeknek és a VII. mellékletben meghatározott dokumentációs követelményeknek.
(9)
Ha a gyártó úgy dönt, hogy a szoftveranyagjegyzéket a felhasználó rendelkezésére bocsátja, tájékoztatás arról, hogy hol érhető el a szoftveranyagjegyzék.
|
|
III. MELLÉKLET DIGITÁLIS ELEMEKET TARTALMAZÓ FONTOS TERMÉKEK
|
III. MELLÉKLET
DIGITÁLIS ELEMEKET TARTALMAZÓ FONTOS TERMÉKEK
I. osztály
1. személyazonosság-kezelő rendszerek és emelt szintű hozzáférést kezelő szoftverek és hardverek, beleértve a hitelesítő és a hozzáférés-ellenőrző leolvasókat, ideértve a biometrikus leolvasókat is;
2. Önálló és beágyazott böngészők
4. Rosszindulatú szoftverek keresésére, eltávolítására vagy karanténba helyezésére szolgáló szoftverek
5. Virtuális magánhálózat (VPN) funkcióval rendelkező, digitális elemeket tartalmazó termékek
6. Hálózatkezelő rendszerek
7. Biztonsági információkat és eseményeket kezelő (SIEM) rendszerek
8. Rendszerbetöltés-vezérlő programok
9. Nyilvános kulcsú infrastruktúra és elektronikus tanúsítványok kibocsátására szolgáló szoftverek
10. Fizikai és virtuális hálózati interfészek
12. Routerek, internetcsatlakozásra szánt modemek és kapcsolók
13. Biztonsági funkciókkal rendelkező mikroprocesszorok
14. Biztonsági funkciókkal rendelkező mikrovezérlők
15. Biztonsági funkciókkal rendelkező, alkalmazásspecifikus integrált áramkörök (ASIC) és a felhasználás helyén programozható logikai kapumátrixok (FPGA)
16. Általános célú intelligens otthoni virtuális asszisztensek
17. Biztonsági funkciókkal rendelkező intelligens otthoni termékek, beleértve az intelligens ajtózárakat, a biztonsági kamerákat, a babafigyelő rendszereket és a riasztórendszereket
18. A 2009/48/EK európai parlamenti és tanácsi irányelv (
4
) hatálya alá tartozó, internetre csatlakoztatott játékok, amelyek szociális interaktív funkciókkal, így például beszéddel vagy videofelvétellel, vagy helymeghatározó funkciókkal rendelkeznek
19. Emberi testen viselhető vagy elhelyezhető, személyes használatra szánt termékek, amelyek egészségügyi megfigyelési, így például nyomkövetési célt szolgálnak, és amelyekre az (EU) 2017/745 vagy az (EU) 2017/746 rendelet nem alkalmazandó, vagy a gyermekek általi használatra és gyermekek részére készült, személyes használatra szánt, viselhető termékek
II. osztály
1. Az operációs rendszerek és hasonló környezetek virtualizált végrehajtását támogató hipervizorok és konténeres futtatókörnyezetek
2. Tűzfalak, behatolásérzékelő és megelőző rendszerek
3. Nem manipulálható mikroprocesszorok
4. Nem manipulálható mikrovezérlők
|
|
IV. MELLÉKLET DIGITÁLIS ELEMEKET TARTALMAZÓ KRITIKUS FONTOSSÁGÚ TERMÉKEK
|
IV. MELLÉKLET
DIGITÁLIS ELEMEKET TARTALMAZÓ KRITIKUS FONTOSSÁGÚ TERMÉKEK
1. Biztonsági zárakkal ellátott hardvereszközök
2. Az (EU) 2019/944 európai parlamenti és tanácsi irányelv (
5
) 2. cikkének 23. pontjában foglalt meghatározás szerinti okos mérési rendszereken belüli intelligens fogyasztásmérő átjárók (smart meter gateways), valamint a fejlett biztonsági célokra, többek között biztonságos kriptográfiára szolgáló egyéb biztonságos rejtjelező eszközök
3. Intelligens kártyák vagy hasonló eszközök, beleértve a biztonságos elemeket is
|
|
V. MELLÉKLET EU-MEGFELELŐSÉGI NYILATKOZAT
|
V. MELLÉKLET
EU-MEGFELELŐSÉGI NYILATKOZAT
A 28. cikkben említett EU-megfelelőségi nyilatkozatnak tartalmaznia kell a következő információk mindegyikét:
1.
A digitális elemeket tartalmazó termék neve és típusa, valamint minden olyan további információ, amely lehetővé teszi annak egyedi azonosítását
2.
A gyártó vagy meghatalmazott képviselőjének neve és címe
3.
Arra vonatkozó nyilatkozat, hogy az EU-megfelelőségi nyilatkozat kiadására a szolgáltató kizárólagos felelőssége mellett kerül sor
4.
A nyilatkozat tárgya (a digitális elemeket tartalmazó termék azonosítása a nyomonkövethetőség biztosítására, amely adott esetben fényképet is tartalmazhat)
5.
Nyilatkozat, amely szerint a fent ismertetett nyilatkozat tárgya megfelel a vonatkozó uniós harmonizációs jogszabályoknak
6.
Hivatkozás bármely alkalmazott releváns harmonizált szabványra vagy bármely más olyan közös előírásra vagy kiberbiztonsági tanúsításra, amellyel kapcsolatban megfelelőségi nyilatkozatra került sor
7.
Adott esetben a bejelentett szervezet neve és azonosító száma, az elvégzett megfelelőségértékelési eljárás leírása és a kiadott tanúsítvány azonosítása
8.
További információk:
A nyilatkozat a következő nevében és megbízásából kerül aláírásra:
(a kiállítás helye és dátuma):
(név, beosztás) (aláírás)
|
|
VI. MELLÉKLET EGYSZERŰSÍTETT EU-MEGFELELŐSÉGI NYILATKOZAT
|
VI. MELLÉKLET
EGYSZERŰSÍTETT EU-MEGFELELŐSÉGI NYILATKOZAT
A 13. cikk (20) bekezdésében említett egyszerűsített EU-megfelelőségi nyilatkozat szövege a következő:
… [gyártó neve] kijelenti, hogy a(z) … [digitális elemet tartalmazó terméktípus megnevezése] típusú, digitális elemeket tartalmazó termék megfelel az (EU) 2024/2847 rendeletnek (
6
). Az EU-megfelelőségi nyilatkozat teljes szövege elérhető a következő internetes címen: …
|
|
VII. MELLÉKLET A MŰSZAKI DOKUMENTÁCIÓ TARTALMA
|
VII. MELLÉKLET
A MŰSZAKI DOKUMENTÁCIÓ TARTALMA
A 31. cikkben említett műszaki dokumentációnak a releváns digitális elemeket tartalmazó termékre vonatkozóan legalább a következő információkat kell tartalmaznia:
1.
a digitális elemeket tartalmazó termék általános leírása, ideértve a következőket:
b)
az alapvető kiberbiztonsági követelményeknek való megfelelést befolyásoló szoftververziók;
c)
amennyiben a digitális elemeket tartalmazó termék hardvertermék, a külső jellemzőket, a jelölést és a belső elrendezést ábrázoló fényképek vagy illusztrációk;
d)
a II. mellékletben meghatározott felhasználói tájékoztatás és használati útmutató;
2.
a digitális elemeket tartalmazó termék tervezésének, fejlesztésének, gyártásának és sérülékenységségkezelési folyamatainak leírása, ideértve a következőket:
a)
szükséges információk a digitális elemeket tartalmazó termék tervezéséről és fejlesztéséről, beleértve adott esetben a rajzokat és sémákat és a rendszer architektúrájának leírását, amely elmagyarázza, hogy a szoftver-alkotóelemek hogyan épülnek egymásra, illetve hogyan épülnek be egymásba, és hogyan integrálódnak a teljes adatkezelésbe;
b)
a gyártó által bevezetett sérülékenységkezelési eljárásokra vonatkozó szükséges információk és azok specifikációi, beleértve a szoftveranyagjegyzéket, az összehangolt sérülékenység-feltárásra vonatkozó politikát, a sérülékenységek bejelentésére szolgáló elérhetőség megadására vonatkozó bizonyítékot, valamint a frissítések biztonságos terjesztéséhez választott műszaki megoldások leírását;
c)
a digitális elemeket tartalmazó termék gyártási és nyomonkövetési folyamataira vonatkozó szükséges információk és azok specifikációi, valamint e folyamatok validálása;
3.
a kiberbiztonsági kockázatok azon értékelése, amely mentén a digitális elemeket tartalmazó terméket a 13. cikk alapján tervezik, fejlesztik, gyártják, szállítják és karbantartják, beleértve az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelmények alkalmazásának módját;
4.
a digitális elemeket tartalmazó termék 13. cikk (8) bekezdése szerinti támogatási időszakának meghatározásakor figyelembe vett releváns információk;
5.
egy lista a részben vagy egészben alkalmazott olyan harmonizált szabványokról, amelyek hivatkozásait az Európai Unió Hivatalos Lapjában közzétették, az e rendelet 27. cikkében meghatározott közös előírásokról vagy az e rendelet 27. cikk (8) bekezdése szerint az (EU) 2019/881 rendelet alapján elfogadott európai kiberbiztonsági tanúsítási rendszerekről, illetve azon esetekben, ahol ezeket a harmonizált szabványokat, közös előírásokat vagy európai kiberbiztonsági tanúsítási rendszereket nem alkalmazzák, azoknak a megoldásoknak a leírása, amelyeket az I. melléklet I. és II. részében előírt alapvető kiberbiztonsági követelmények teljesítése érdekében alkalmaztak, beleértve az egyéb alkalmazott releváns műszaki leírásokat is. Részben alkalmazott harmonizált szabványok, közös előírások vagy európai kiberbiztonsági tanúsítási rendszerek esetében a műszaki dokumentációban fel kell tüntetni, hogy mely részeket alkalmazták;
6.
az annak ellenőrzése érdekében elvégzett vizsgálatokról készült jelentések, hogy a digitális elemeket tartalmazó termék és a sérülékenységkezelési eljárások megfelelnek-e az I. melléklet I. és II. részében meghatározott alkalmazandó alapvető kiberbiztonsági követelményeknek;
7.
az EU-megfelelőségi nyilatkozat másolata;
8.
adott esetben a szoftveranyagjegyzék valamely piacfelügyeleti hatóság indokolással ellátott kérésére, feltéve, hogy az szükséges ahhoz, hogy az említett hatóság ellenőrizni tudja az I. mellékletben meghatározott alapvető kiberbiztonsági követelményeknek való megfelelést.
|
|
VIII. MELLÉKLET MEGFELELŐSÉGÉRTÉKELÉSI ELJÁRÁSOK
|
VIII. MELLÉKLET
MEGFELELŐSÉGÉRTÉKELÉSI ELJÁRÁSOK
I. rész Belső ellenőrzésen alapuló megfelelőségértékelési eljárás (az A modul alapján)
1. A belső ellenőrzés az a megfelelőségértékelési eljárás, amellyel a gyártó eleget tesz az e rész 2., 3. és 4. pontjában meghatározott kötelezettségeknek, továbbá biztosítja, és saját kizárólagos felelőssége mellett nyilatkozik arról, hogy a digitális elemeket tartalmazó termék megfelel az I. melléklet I. részében meghatározott minden alapvető kiberbiztonsági követelménynek, valamint a gyártó megfelel az I. melléklet II. részében meghatározott alapvető kiberbiztonsági követelményeknek.
2. A gyártónak el kell készítenie a VII. mellékletben ismertetett műszaki dokumentációt.
3. A digitális elemeket tartalmazó termékek tervezése, fejlesztése, gyártása és sérülékenységkezelése
A gyártónak minden szükséges intézkedést meg kell tennie annak érdekében, hogy a kialakítási, fejlesztési, gyártási és sérülékenységkezelési eljárások és azok nyomon követése biztosítsa a gyártott vagy fejlesztett, digitális elemeket tartalmazó termékek és a gyártó által bevezetett eljárások megfelelését az I. melléklet I. és II. részében meghatározott alapvető kiberbiztonsági követelményeknek.
4. Megfelelőségi jelölés és megfelelőségi nyilatkozat
4.1. A gyártó az e rendeletben meghatározott, alkalmazandó követelményeknek megfelelő, digitális elemeket tartalmazó termékek mindegyikén elhelyezi a CE-jelölést.
4.2. A gyártó a digitális elemeket tartalmazó termékek mindegyikére vonatkozóan írásos EU-megfelelőségi nyilatkozatot készít a 28. cikkel összhangban, és a műszaki dokumentációval együtt a digitális elemeket tartalmazó termék forgalomba hozatala után 10 évig vagy a támogatási időszak alatt – attól függően, hogy melyik a hosszabb időszak – elérhetővé teszi a nemzeti hatóság számára. Az EU-megfelelőségi nyilatkozat megnevezi azt a digitális elemeket tartalmazó terméket, amelyre vonatkozóan elkészítették. Az EU-megfelelőségi nyilatkozat egy példányát kérésre a releváns hatóságok rendelkezésére kell bocsátani.
5. Meghatalmazott képviselők
A gyártónak a 4. pontban meghatározott kötelezettségeit a gyártó nevében és felelősségére a gyártó meghatalmazott képviselője is teljesítheti, amennyiben a vonatkozó kötelezettség szerepel a megbízatásban.
II. rész EU-típusvizsgálat (a B modul alapján)
1. Az EU-típusvizsgálat a megfelelőségértékelési eljárásnak azon része, amelynek keretében a bejelentett szervezet megvizsgálja a digitális elemeket tartalmazó termék műszaki tervezését és fejlesztését, valamint a gyártó által bevezetett sérülékenységkezelési eljárásokat, és tanúsítja, hogy a digitális elemeket tartalmazó termék megfelel az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelményeknek, valamint hogy a gyártó megfelel az I. melléklet II. részében meghatározott alapvető kiberbiztonsági követelményeknek.
2. Az EU-típusvizsgálatot a digitális elemeket tartalmazó termék megfelelő műszaki tervezésének és fejlesztésének értékelésével kell elvégezni, a műszaki dokumentáció és a 3. pontban említett alátámasztó bizonyítékok vizsgálata, valamint a termék egy vagy több kritikus összetevőjének mintáin végzett vizsgálata révén (a gyártási típus és a tervezési típus kombinációja).
3. A gyártónak EU-típusvizsgálatra vonatkozó kérelmet kell benyújtania az általa kiválasztott egyetlen bejelentett szervezethez.
A kérelemnek az alábbiakat kell tartalmaznia:
3.1.
a gyártó neve és címe, és amennyiben a kérelmet a meghatalmazott képviselő nyújtja be, a meghatalmazott képviselő neve és címe;
3.2.
írásos nyilatkozat arról, hogy a szolgáltató ugyanazt a kérelmet más bejelentett szervezethez nem nyújtotta be;
3.3.
a műszaki dokumentáció, amelynek lehetővé kell tennie annak értékelését, hogy a digitális elemeket tartalmazó termék megfelel-e az I. melléklet I. részében meghatározott alkalmazandó alapvető kiberbiztonsági követelményeknek, valamint a gyártó I. melléklet II. részében meghatározott sérülékenységkezelési eljárásainak, és tartalmaznia kell a kockázat(ok) megfelelő elemzését és értékelését. A műszaki dokumentáció meghatározza az alkalmazandó követelményeket, és – az értékelés szempontjából releváns mértékben – ismerteti a digitális elemeket tartalmazó termék kialakítását, gyártását és működését. A műszaki dokumentációnak adott esetben tartalmaznia kell legalább a VII. mellékletben meghatározott elemeket;
3.4.
a műszaki kialakítási és fejlesztési megoldások és a sérülékenységkezelési eljárások megfelelőségét alátámasztó bizonyíték. Ennek az alátámasztó bizonyítéknak minden olyan dokumentumot fel kell sorolnia, amelyet használtak, különösen, ha a releváns harmonizált szabványokat vagy műszaki előírásokat nem alkalmazták teljes mértékben. Szükség esetén az alátámasztó bizonyítéknak tartalmaznia kell a gyártó megfelelő laboratóriumában vagy a gyártó nevében és felelősségére egy másik vizsgálati laboratóriumban elvégzett vizsgálatok eredményeit.
4. A bejelentett szervezet köteles:
4.1.
megvizsgálni a műszaki dokumentációt és az alátámasztó bizonyítékot annak értékelése céljából, hogy a digitális elemeket tartalmazó termék műszaki tervezése és fejlesztése megfelel-e az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelményeknek, valamint hogy a gyártó által bevezetett sérülékenységkezelési eljárások megfelelnek-e az I. melléklet II. részében meghatározott alapvető kiberbiztonsági követelményeknek;
4.2.
ellenőrizni, hogy a mintadarabokat a műszaki dokumentációnak megfelelően fejlesztették vagy gyártották-e, és azonosítani a releváns harmonizált szabványok vagy műszaki előírások alkalmazandó rendelkezéseinek megfelelően tervezett és fejlesztett elemeket, továbbá azokat az elemeket, amelyeket e szabványok releváns rendelkezéseinek alkalmazása nélkül terveztek és fejlesztettek;
4.3.
elvégezni vagy elvégeztetni azokat a megfelelő vizsgálatokat és teszteket, amelyekkel ellenőrizheti, hogy a gyártó, ahol úgy döntött, hogy alkalmazza az I. mellékletben meghatározott követelményekre vonatkozó releváns harmonizált szabványok vagy műszaki előírások szerinti megoldásokat, azokat megfelelően alkalmazta-e;
4.4.
elvégezni vagy elvégeztetni azokat a megfelelő vizsgálatokat és teszteket, amelyekkel ellenőrizheti, hogy ahol nem alkalmazta az I. mellékletben meghatározott követelményekre vonatkozó releváns harmonizált szabványok vagy műszaki előírások szerinti megoldásokat, a gyártó által alkalmazott megoldások teljesítik-e a megfelelő alapvető kiberbiztonsági követelményeket;
4.5.
megállapodni a gyártóval az ellenőrzések és vizsgálatok elvégzésének helyszínéről.
5. A bejelentett szervezet elkészíti a 4. ponttal összhangban végzett tevékenységeket és azok eredményeit rögzítő értékelő jelentést. A bejelentő hatóságokkal szembeni kötelezettségeinek sérelme nélkül a bejelentett szervezet a jelentés – akár részleges, akár teljes – tartalmát kizárólag a gyártó beleegyezésével teszi közzé.
6. Amennyiben a típus és a sérülékenységkezelési eljárások megfelelnek az I. mellékletben meghatározott alapvető kiberbiztonsági követelményeknek, a bejelentett szervezet EU-típusvizsgálati tanúsítványt állít ki a gyártó számára. A tanúsítvány tartalmazza a gyártó nevét és címét, a vizsgálat eredményeit, az érvényességének (esetleges) feltételeit és a jóváhagyott típus és sérülékenységkezelési eljárások azonosításához szükséges adatokat. A tanúsítványnak egy vagy több melléklete is lehet.
A tanúsítvány és annak mellékletei minden olyan releváns információt tartalmaznak, amelyek alapján értékelni lehet a vizsgált típusú, gyártott vagy fejlesztett, digitális elemeket tartalmazó termékek és a sérülékenységkezelési eljárások megfelelőségét, és amelyek lehetővé teszik az üzemelés közbeni ellenőrzést.
Amennyiben a típus és a sérülékenységkezelési eljárások nem felelnek meg az I. mellékletben meghatározott alkalmazandó alapvető kiberbiztonsági követelményeknek, a bejelentett szervezet visszautasítja az EU-típusvizsgálati tanúsítvány kiállítását, és megfelelően tájékoztatja a kérelmezőt, részletesen megindokolva annak visszautasítását.
7. A bejelentett szervezet a tudomány általánosan elismert jelenlegi állásának valamennyi olyan változásáról tájékozódik, amely azt jelzi, hogy a jóváhagyott típus és a sérülékenységkezelési eljárások a továbbiakban nem felelhetnek meg az I. mellékletben meghatározott alkalmazandó alapvető kiberbiztonsági követelményeknek, és meghatározza, hogy ezek a változások további vizsgálatot igényelnek-e. Amennyiben igen, a bejelentett szervezet tájékoztatja erről a gyártót.
A gyártó értesíti az EU-típusvizsgálati tanúsítvánnyal kapcsolatos műszaki dokumentációt őrző bejelentett szervezetet a jóváhagyott típus és a sérülékenységkezelési eljárások minden olyan módosításáról, amely befolyásolhatja az I. mellékletben meghatározott alapvető kiberbiztonsági követelményeknek való megfelelőséget vagy e tanúsítvány érvényességének feltételeit. Az ilyen módosítások az eredeti EU-típusvizsgálati tanúsítvány kiegészítésének formájában további jóváhagyást igényelnek.
8. A bejelentett szervezetnek időszakos ellenőrzéseket kell végeznie annak biztosítása érdekében, hogy az I. melléklet II. részében meghatározott sérülékenységkezelési eljárásokat megfelelően hajtsák végre.
9. Mindegyik bejelentett szervezet tájékoztatja bejelentő hatóságait az általa kibocsátott vagy visszavont EU-típusvizsgálati tanúsítványokról és ezek kiegészítéseiről, továbbá – rendszeres időközönként vagy kérésre – bejelentő hatóságai rendelkezésére bocsátja a visszautasított, felfüggesztett vagy más módon korlátozott tanúsítványok és kiegészítések listáját.
Minden bejelentett szervezet tájékoztatja a többi bejelentett szervezetet az általa visszautasított, visszavont, felfüggesztett vagy más módon korlátozott EU-típusvizsgálati tanúsítványokról és kiegészítésekről, továbbá kérésre az általa kiadott tanúsítványokról és kiegészítésekről.
Kérésre a Bizottság, a tagállamok és a többi bejelentett szervezet megkaphatják az EU-típusvizsgálati tanúsítványok és kiegészítéseik egy példányát. Kérésre a Bizottság és a tagállamok megkaphatják a műszaki dokumentáció és a bejelentett szervezet által végzett vizsgálatok eredményeinek egy példányát. A bejelentett szervezet a tanúsítvány érvényességének végéig köteles megőrizni az EU-típusvizsgálati tanúsítvány, valamint annak mellékletei és kiegészítései másolatát, valamint a gyártó által benyújtott dokumentációt tartalmazó műszaki dokumentációt.
10. A gyártó az EU-típusvizsgálati tanúsítványnak, valamint a tanúsítvány mellékleteinek és kiegészítéseinek egy példányát a nemzeti hatóságok számára elérhetővé teszi a műszaki dokumentációval együtt a digitális elemeket tartalmazó termék forgalomba hozatala után 10 évig vagy a támogatási időszak alatt, attól függően, hogy melyik a hosszabb időszak.
11. A gyártó meghatalmazott képviselője is benyújthatja a 3. pontban említett kérelmet, és teljesítheti a 7. és a 10. pontban meghatározott kötelezettségeket, amennyiben a vonatkozó követelmények szerepelnek a megbízásban.
III. rész Belső gyártásellenőrzésen alapuló típusmegfelelőség (a C modul alapján)
1. A belső gyártásellenőrzésen alapuló típusmegfelelőség a megfelelőségértékelési eljárásnak azon része, amellyel a gyártó eleget tesz az e rész 2. és 3. pontjában meghatározott kötelezettségeknek, továbbá biztosítja és kijelenti, hogy az érintett, digitális elemeket tartalmazó termékek megfelelnek az EU-típusvizsgálati tanúsítványban leírt típusnak, és eleget tesznek az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelményeknek, valamint hogy a gyártó eleget tesz az I. melléklet II. részében meghatározott alapvető kiberbiztonsági követelményeknek.
A gyártó minden szükséges intézkedést megtesz annak érdekében, hogy a gyártás és annak figyelemmel kísérése biztosítsa, hogy a gyártott, digitális elemeket tartalmazó termékek megfeleljenek az EU-típusvizsgálati tanúsítványban leírt jóváhagyott típusnak, és az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelményeknek, és biztosítja, hogy a gyártó eleget tegyen az I. melléklet II. részében meghatározott alapvető kiberbiztonsági követelményeknek.
3. Megfelelőségi jelölés és a megfelelőségi nyilatkozat
3.1.
A gyártó minden olyan, digitális elemeket tartalmazó terméken elhelyezi a CE-jelölést, amely megfelel az EU-típusvizsgálati tanúsítványban leírt típusnak, és amely eleget tesz az e rendeletben meghatározott, alkalmazandó követelményeknek.
3.2.
A gyártó a termék modelljére vonatkozóan írásos megfelelőségi nyilatkozatot készít, és azt a digitális elemeket tartalmazó termék forgalomba hozatala után 10 évig vagy a támogatási időszak alatt – attól függően, hogy melyik a hosszabb időszak – a nemzeti hatóságok számára elérhetővé teszi. A megfelelőségi nyilatkozat megnevezi a terméknek azt a modelljét, amelyre vonatkozóan elkészítették. A megfelelőségi nyilatkozat egy példányát kérésre a releváns hatóságok rendelkezésére kell bocsátani.
4. Meghatalmazott képviselő
A gyártónak a 3. pontban meghatározott kötelezettségeit a gyártó nevében és felelősségére a gyártó meghatalmazott képviselője is teljesítheti, amennyiben a vonatkozó követelmények szerepelnek a megbízatásban.
IV. rész Teljes minőségbiztosításon alapuló megfelelőségértékelési eljárás (a H modul alapján)
1. A teljes minőségbiztosításon alapuló megfelelőség az a megfelelőségértékelési eljárás, amellyel a gyártó eleget tesz az e rész 2. és 5. pontjában meghatározott kötelezettségeknek, továbbá biztosítja, és saját kizárólagos felelőssége mellett nyilatkozik arról, hogy az érintett, digitális elemeket tartalmazó termékek (vagy termékkategóriák) megfelelnek az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelményeknek, valamint a gyártó által bevezetett sérülékenységkezelési eljárások megfelelnek az I. melléklet II. részében meghatározott követelményeknek.
2. A digitális elemeket tartalmazó termékek tervezése, fejlesztése, gyártása és sérülékenységkezelése
A gyártó a 3. pontban meghatározottak szerint jóváhagyott minőségbiztosítási rendszert működtet az érintett, digitális elemeket tartalmazó termékek tervezése, fejlesztése és végső termékellenőrzése és tesztelése, valamint a sérülékenységek kezelése céljából, fenntartja annak hatékonyságát a támogatási időszak teljes időtartama alatt, és a gyártót a 4. pontban meghatározott módon felügyelik.
3. Minőségbiztosítási rendszer
3.1.
A gyártó az általa választott bejelentett szervezetnél az érintett, digitális elemeket tartalmazó termékekkel kapcsolatban kérelmezi minőségbiztosítási rendszere értékelését.
A kérelem a következőket tartalmazza:
a)
a gyártó neve és címe, és amennyiben a kérelmet a meghatalmazott képviselő nyújtja be, e meghatalmazott képviselő neve és címe;
b)
a műszaki dokumentáció a gyártásra vagy fejlesztésre szánt, digitális elemeket tartalmazó termékek mindegyik kategóriájának egy-egy modelljére vonatkozóan. A műszaki dokumentációnak adott esetben tartalmaznia kell legalább a VII. mellékletben meghatározott elemeket;
c)
a minőségbiztosítási rendszerre vonatkozó dokumentáció; valamint
d)
írásos nyilatkozat arról, hogy a szolgáltató ugyanazt a kérelmet más bejelentett szervezethez nem nyújtotta be.
3.2.
A minőségbiztosítási rendszer biztosítja, hogy a digitális elemeket tartalmazó termék megfeleljen az I. melléklet I. részében meghatározott alapvető kiberbiztonsági követelményeknek, valamint hogy a gyártó által bevezetett sérülékenységkezelési eljárások megfeleljenek az I. melléklet II. részében meghatározott követelményeknek.
A gyártó által alkalmazott összes elemet, követelményt és rendelkezést rendszeres és szisztematikus módon dokumentálni kell írásban rögzített elvek, eljárások és utasítások formájában. A minőségbiztosítási rendszer említett dokumentációjának lehetővé kell tennie a minőségbiztosítási programok, tervek, kézikönyvek és nyilvántartások következetes értelmezését.
Különösen a következők megfelelő leírását kell tartalmaznia:
a)
minőségi célkitűzések és szervezeti felépítés, a vezetőség felelőssége és hatásköre a tervezés, fejlesztés, a termék minősége és a sérülékenységek kezelése tekintetében;
b)
a tervezésre és fejlesztésre vonatkozó műszaki előírások, ideértve a szabványokat, amelyeket alkalmazni fognak és amennyiben a releváns harmonizált szabványokat vagy műszaki előírásokat nem teljes egészükben fogják alkalmazni, azokat az eszközöket, amelyeket az I. melléklet I. részében meghatározott, a digitális elemeket tartalmazó termékekre alkalmazandó alapvető kiberbiztonsági követelmények teljesítésének biztosítására használni fognak;
c)
az eljárási előírások, ideértve a szabványokat, amelyeket alkalmazni fognak, és amennyiben a releváns harmonizált szabványokat vagy műszaki előírásokat nem teljes egészükben fogják alkalmazni, azokat az eszközöket, amelyeket az I. melléklet II. részében meghatározott, a gyártóra alkalmazandó alapvető kiberbiztonsági követelmények teljesítésének biztosítására használni fognak;
d)
azok a tervezés- és fejlesztés-ellenőrzési és tervezés- és fejlesztésigazolási technikák, folyamatok és módszeres intézkedések, amelyeket az érintett termékkategóriához tartozó, digitális elemeket tartalmazó termékek tervezése és fejlesztése során használni fognak;
e)
az ezeknek megfelelő gyártási, minőség-ellenőrzési és minőségbiztosítási technikák, folyamatok és módszeres intézkedések, amelyeket alkalmazni fognak;
f)
a gyártás előtt, közben és után elvégzendő vizsgálatok és tesztek, valamint ezek elvégzésének gyakorisága;
g)
a minőségi nyilvántartás, mint például ellenőrzési jelentések és a tesztadatok, a kalibrálási adatok, valamint az érintett személyzet képesítéséről szóló jelentések;
h)
az előírt kialakítási és termékminőség, valamint a minőségbiztosítási rendszer hatékony működésének figyelemmel kísérésére szolgáló eszközök.
3.3.
A bejelentett szervezet értékeli a minőségbiztosítási rendszert annak megállapítása érdekében, hogy az megfelel-e a 3.2. pontban említett követelményeknek.
A releváns harmonizált szabványt vagy műszaki előírást végrehajtó nemzeti szabvány megfelelő előírásait teljesítő minőségbiztosítási rendszer elemei tekintetében a bejelentett szervezet vélelmezi az ezeknek a követelményeknek való megfelelést.
A minőségirányítási rendszerekkel kapcsolatos tapasztalatok mellett az ellenőrzést végző csoportban legalább egy olyan tag van, aki mint értékelő tapasztalattal rendelkezik az érintett termékterület és terméktechnológia területén, valamint az ellenőrzést végző csoportnak ismernie kell az e rendeletben meghatározott, alkalmazandó követelményeket. Az ellenőrzés kiterjed a gyártó telephelyén tett értékelési szemlére is, amennyiben a gyártó rendelkezik telephellyel. Az ellenőrzést végző csoport felülvizsgálja a 3.1. pontban említett műszaki dokumentációt annak ellenőrzése érdekében, hogy a gyártó képes-e meghatározni az e rendeletben meghatározott, alkalmazandó követelményeket, és el tudja-e végezni az ahhoz szükséges vizsgálatokat, hogy biztosíthassa a digitális elemeket tartalmazó termék e követelményeknek való megfelelését.
A döntésről értesíteni kell a gyártót vagy meghatalmazott képviselőjét.
Az értesítés tartalmazza az ellenőrzés következtetéseit és az indokolással ellátott értékelési döntést.
3.4.
A gyártó vállalja, hogy teljesíti a jóváhagyott minőségbiztosítási rendszerből eredő kötelezettségeit, továbbá hogy azt úgy tartja fenn, hogy az megfelelő és hatékony maradjon.
3.5.
A gyártónak a minőségbiztosítási rendszert érintő minden tervezett változtatásról tájékoztatnia kell a minőségbiztosítási rendszert eredetileg jóváhagyó bejelentett szervezetet.
A bejelentett szervezet értékeli a javasolt módosításokat, és eldönti, hogy a módosított minőségbiztosítási rendszer a továbbiakban is megfelel-e a 3.2. pontban említett követelményeknek, vagy újabb értékelés szükséges.
Döntéséről értesíti a gyártót. Az értesítés tartalmazza a vizsgálat következtetéseit és az indokolással ellátott értékelési döntést.
4. Felügyelet a bejelentett szervezet felelősségi körében
4.1.
A felügyelet célja annak biztosítása, hogy a gyártó megfelelően teljesítse a jóváhagyott minőségbiztosítási rendszerből eredő kötelezettségeket.
4.2.
A gyártó az értékelés céljából lehetővé teszi, hogy a bejelentett szervezet belépjen a tervezés, a fejlesztés, a gyártás, az ellenőrzés, a vizsgálat és a raktározás helyszíneire, és rendelkezésre bocsát minden szükséges információt, különösen a következőket:
a)
a minőségbiztosítási rendszer dokumentációja;
b)
a minőségbiztosítási rendszer kialakítási részében előirányzott minőségügyi nyilvántartás, mint például az elemzések, számítások és vizsgálatok eredményei;
c)
a minőségbiztosítási rendszer gyártási részében előirányzott minőségbiztosítási nyilvántartás, mint például az ellenőrzési jelentések és vizsgálati adatok, a kalibrálási adatok, valamint az érintett személyzet képesítéséről szóló jelentések.
4.3.
A bejelentett szervezet időszakos ellenőrzéseket végez, hogy megbizonyosodjon arról, hogy a gyártó fenntartja és alkalmazza-e a minőségbiztosítási rendszert, továbbá ellenőrzési jelentést ad a gyártónak.
5. Megfelelőségi jelölés és a megfelelőségi nyilatkozat
5.1.
A gyártó elhelyezi a CE-jelölést és – a 3.1. pontban említett bejelentett szervezet felelősségére – a bejelentett szervezet azonosító számát minden olyan, digitális elemeket tartalmazó terméken, amely eleget tesz az I. melléklet I. részében meghatározott követelményeknek.
5.2.
A gyártó a termék minden egyes modelljére vonatkozóan írásos megfelelőségi nyilatkozatot készít, és azt a digitális elemeket tartalmazó termék forgalomba hozatala után 10 évig vagy a támogatási időszak alatt – attól függően, hogy melyik a hosszabb időszak – a nemzeti hatóságok számára elérhetővé teszi. A megfelelőségi nyilatkozat megnevezi a terméknek azt a modelljét, amelyre vonatkozóan elkészítették.
A megfelelőségi nyilatkozat egy példányát kérésre a releváns hatóságok rendelkezésére kell bocsátani.
6. A gyártó a digitális elemeket tartalmazó termék forgalomba hozatala után legalább 10 éven át vagy a támogatási időszak alatt – attól függően, hogy melyik a hosszabb időszak –, a nemzeti hatóságok számára elérhetővé teszi a következőket:
a)
a 3.1. pontban említett műszaki dokumentáció;
b)
a 3.1. pontban említett minőségbiztosítási rendszerre vonatkozó dokumentáció;
c)
a 3.5. pontban említett jóváhagyott módosítás;
d)
a bejelentett szervezetnek a 3.5. és a 4.3. pontban említett határozatai és jelentései.
7. Mindegyik bejelentett szervezet tájékoztatja bejelentő hatóságait az általa minőségbiztosítási rendszerekre kiadott és visszavont jóváhagyásairól, továbbá – rendszeres időközönként vagy kérésre – bejelentő hatóságai rendelkezésére bocsátja a visszautasított, felfüggesztett vagy más módon korlátozott jóváhagyásainak listáját.
Mindegyik bejelentett szervezet tájékoztatja a többi bejelentett szervezetet a minőségbiztosítási rendszerek általa visszautasított, felfüggesztett vagy visszavont jóváhagyásáról, valamint – kérésre – a minőségbiztosítási rendszerek általa kiadott jóváhagyásáról.
8. Meghatalmazott képviselő
A gyártónak a 3.1., 3.5., 5. és 6. pontban meghatározott kötelezettségeit a gyártó nevében és felelősségére a gyártó meghatalmazott képviselője is teljesítheti, amennyiben a vonatkozó követelmények szerepelnek a megbízatásban.
E rendelet tekintetében egy nyilatkozat megtételére került sor, amely [a Kiadóhivatal által beillesztendő: HL C, 2024/6786, 2024.11.20., ELI: http://data.europa.eu/eli/C/2024/6786/oj található.
|
,
1.1 Hivatkozások
1.2 Azonosított követelmények
1.3 Kapcsolódó szabványok
2. Azonosított követelmények
Követelmények
| Forrás |
Követelmény |
3. Kapcsolódó szabványok
Szabványok
| Forrás |
Követelmény |
Kapcsolt feladatok
|