EUROPA-PARLAMENTETS OG RÅDETS FORORDNING (EU) 2024/2847 af 23. oktober 2024 om horisontale cybersikkerhedskrav til produkter med digitale elementer og om ændring af forordning (EU) nr. 168/2013 og (EU) 2019/1020 og direktiv (EU) 2020/1828 (forordningen om cyberrobusthed) (EØS-relevant tekst)

gøres tilgængelige på markedet uden kendte sårbarheder, der kan udnyttes

gøres tilgængelige på markedet med en sikker konfiguration som standard, medmindre andet er aftalt mellem fabrikanten og erhvervsbrugeren i forbindelse med et skræddersyet produkt med digitale elementer, herunder muligheden for at nulstille produktet til dets oprindelige tilstand

sikre, at sårbarheder kan afhjælpes gennem sikkerhedsopdateringer, herunder, hvor det er relevant, ved hjælp af automatiske sikkerhedsopdateringer, der som standardindstilling installeres, inden for en passende tidsramme, med en klar og brugervenlig fravalgsmekanisme og gennem underretning af brugerne om tilgængelige opdateringer og muligheden for midlertidigt at udsætte dem

sikre beskyttelse mod uautoriseret adgang ved hjælp af passende kontrolmekanismer, herunder, men ikke begrænset til, autentificerings-, identitets- eller adgangsstyringssystemer, og give melding om mulig ikkeautoriseret adgang

beskytte fortroligheden af opbevarede, videresendte eller på anden måde behandlede personoplysninger eller andre data, såsom ved at kryptere relevante data i hvile eller i transit ved brug af mekanismer på det aktuelle tekniske niveau og ved brug af andre tekniske midler

beskytte integriteten af opbevarede, videresendte eller på anden måde behandlede personoplysninger eller andre data, kommandoer, programmer og konfigurationer mod enhver manipulation eller ændring, som brugeren ikke har givet tilladelse til, og give melding om korruption

kun behandle personoplysninger eller andre data, der er tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til det tilsigtede formål med produktet med digitale elementer (»dataminimering«)

beskytte tilgængeligheden af væsentlige og grundlæggende funktioner, også efter en hændelse, herunder gennem modstandsdygtigheds- og afbødningsforanstaltninger mod denial of service-angreb

minimere den negative indvirkning af selve produkterne eller forbundne enheder på tilgængeligheden af tjenester, der leveres af andre enheder eller netværk

designes, udvikles og produceres med henblik på at begrænse angrebsflader, herunder eksterne grænseflader

designes, udvikles og produceres med henblik på at mindske virkningen af en hændelse ved hjælp af passende mekanismer og teknikker til begrænsning af udnyttelsen

levere sikkerhedsrelaterede oplysninger ved at registrere og overvåge relevante interne aktiviteter, herunder adgang til eller ændring af data, tjenester eller funktioner, med en fravalgsmekanisme for brugeren

give brugerne mulighed for på sikker og nem vis at fjerne alle data og indstillinger på permanent basis og, hvis sådanne data kan overføres til andre produkter eller systemer, sikre, at dette gøres på en sikker måde.

identificere og dokumentere sårbarheder og komponenter i produkter med digitale elementer, herunder ved at udarbejde en softwarekomponentliste i et almindeligt anvendt og maskinlæsbart format, der som minimum dækker de vigtigste produktafhængigheder

i forbindelse med risiciene forbundet med produkter med digitale elementer straks håndtere og afhjælpe sårbarheder, herunder ved at sørge for sikkerhedsopdateringer, og hvor det er teknisk muligt, skal nye sikkerhedsopdateringer leveres adskilt fra funktionalitetsopdateringer

anvende effektive og regelmæssige afprøvninger og gennemgange af sikkerheden af produktet med digitale elementer

når en sikkerhedsopdatering er gjort tilgængelig, dele og offentliggøre oplysninger om afhjulpne sårbarheder, herunder en beskrivelse af sårbarhederne, oplysninger, der gør det muligt for brugerne at identificere det berørte produkt med digitale elementer, sårbarhedernes indvirkning og alvor, og tydelige og tilgængelige oplysninger, der gør det lettere for brugerne at afhjælpe sårbarhederne; i behørigt begrundede tilfælde, hvor fabrikanterne mener, at sikkerhedsrisiciene ved offentliggørelse opvejer sikkerhedsfordelene, kan de udsætte offentliggørelsen af oplysninger om en afhjulpen sårbarhed, indtil brugerne har fået mulighed for at anvende den relevante rettelse

indføre og håndhæve en politik for koordineret offentliggørelse af sårbarheder

træffe foranstaltninger til at lette udvekslingen af oplysninger om potentielle sårbarheder i deres produkt med digitale elementer samt i tredjepartskomponenter indeholdt i det pågældende produkt, herunder ved at anføre en kontaktadresse til indberetning af de sårbarheder, der opdages i produktet med digitale elementer

sørge for mekanismer til sikker distribution af opdateringer for produkter med digitale elementer for at sikre, at sårbarheder afhjælpes eller afbødes rettidigt og, hvor det er relevant for sikkerhedsopdateringer, automatisk

sikre, at tilgængelige sikkerhedsopdateringer til afhjælpning af identificerede sikkerhedsproblemer formidles uden unødigt ophold og, medmindre andet er aftalt mellem en fabrikant og en erhvervsbruger i forhold til et skræddersyet produkt med digitale elementer, gratis sammen med vejledende meddelelser, der giver brugerne de relevante oplysninger, herunder om mulige foranstaltninger, der skal træffes.

Fabrikantens navn, registrerede firmanavn eller registrerede varemærke og postadresse, e-mailadresse eller andre digitale kontaktoplysninger samt, hvis et sådant foreligger, det websted, hvor fabrikanten kan kontaktes

det centrale kontaktpunkt, hvor oplysninger om sårbarheder i produktet med digitale elementer kan indberettes og modtages, og hvor fabrikantens politik for koordineret offentliggørelse af sårbarheder kan findes

navn og type og eventuelle yderligere oplysninger, der gør det muligt entydigt at identificere produktet med digitale elementer

det tilsigtede formål med produktet med digitale elementer, herunder det sikkerhedsmiljø, som fabrikanten leverer, samt produktets væsentlige funktioner og oplysninger om sikkerhedsegenskaberne

alle kendte eller forudsigelige omstændigheder vedrørende anvendelsen af produktet med digitale elementer i overensstemmelse med dets tilsigtede formål eller ved fejlanvendelse, der med rimelighed kan forudses, der kan medføre betydelige cybersikkerhedsrisici

i givet fald den internetadresse, hvor der er adgang til EU-overensstemmelseserklæringen

den type tekniske sikkerhedsstøtte, som fabrikanten tilbyder, og slutdatoen for den supportperiode, hvor brugerne kan forvente, at sårbarheder håndteres, og hvor brugerne kan forvente at modtage sikkerhedsopdateringer

detaljerede anvisninger eller en internetadresse med henvisning til sådanne detaljerede anvisninger og oplysninger om:

hvis fabrikanten beslutter at stille softwarekomponentlisten til rådighed for brugeren, oplysninger om, hvor softwarekomponentlisten kan tilgås.

Navn og type og eventuelle yderligere oplysninger, der gør det muligt entydigt at identificere produktet med digitale elementer.

Navn og adresse på fabrikanten eller dennes bemyndigede repræsentant.

En erklæring om, at EU-overensstemmelseserklæringen udstedes på udbyderens eksklusive ansvar.

Erklæringens genstand (identifikation af produktet med digitale elementer, så det kan spores, hvilket kan omfatte et foto, hvor det er relevant).

En erklæring om, at genstanden for erklæringen beskrevet ovenfor er i overensstemmelse med den relevante EU-harmoniseringslovgivning.

Henvisninger til de relevante anvendte harmoniserede standarder eller referencer til anden fælles specifikation eller cybersikkerhedscertificering, som der erklæres overensstemmelse med.

Hvis det er relevant, navnet og nummeret på det bemyndigede organ, en beskrivelse af den udførte overensstemmelsesvurderingsprocedure og identifikation af den udstedte attest.

Yderligere oplysninger:

Underskrevet for og på vegne af:

(udstedelsessted og -dato):

(navn, stilling) (underskrift):

en generel beskrivelse af produktet med digitale elementer, herunder:

en beskrivelse af design, udvikling og produktion af produktet med digitale elementer og af sårbarhedshåndteringsprocesser, herunder:

en vurdering af de cybersikkerhedsrisici, som produktet med digitale elementer i henhold til artikel 13 designes, udvikles, produceres, leveres og vedligeholdes til at beskytte imod, herunder hvordan de væsentlige cybersikkerhedskrav i bilag I, del 1, finder anvendelse

relevante oplysninger, der blev taget i betragtning ved fastlæggelsen af supportperioden i henhold til artikel 13, stk. 8, for produktet med digitale elementer

en liste over de helt eller delvist anvendte harmoniserede standarder, hvis referencer er offentliggjort i Den Europæiske Unions Tidende, fælles specifikationer som fastsat i denne forordnings artikel 27 eller europæiske cybersikkerhedscertificeringsordninger, der er vedtaget i henhold til forordning (EU) 2019/881 i henhold til nærværende forordnings artikel 27, stk. 8, og, hvor disse harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger ikke er blevet anvendt, beskrivelser af de løsninger, der er anvendt for at opfylde de væsentlige cybersikkerhedskrav i bilag I, del I og II, herunder en liste over andre relevante tekniske specifikationer, som er anvendt. I tilfælde af delvis anvendelse af harmoniserede standarder, fælles specifikationer eller europæiske cybersikkerhedscertificeringsordninger skal den tekniske dokumentation angive, hvilke dele der er anvendt

rapporter om de afprøvninger, der er foretaget for at kontrollere, at produktet med digitale elementer og sårbarhedshåndteringsprocesserne opfylder de gældende væsentlige cybersikkerhedskrav som fastsat i bilag I, del I og II

en kopi af EU-overensstemmelseserklæringen

i givet fald softwarekomponentlisten efter en begrundet anmodning fra en markedsovervågningsmyndighed, forudsat at det er nødvendigt for, at denne myndighed kan kontrollere overholdelsen af de væsentlige cybersikkerhedskrav i bilag I.

fabrikantens navn og adresse samt, hvis ansøgningen indgives af den bemyndigede repræsentant, denne bemyndigede repræsentants navn og adresse

en skriftlig erklæring om, at samme ansøgning ikke er indgivet til et andet bemyndiget organ

den tekniske dokumentation, der skal gøre det muligt at vurdere, om produktet med digitale elementer er i overensstemmelse med de gældende væsentlige cybersikkerhedskrav i bilag I, del I, og fabrikantens sårbarhedshåndteringsprocesser i bilag I, del II, og skal indeholde en fyldestgørende analyse og vurdering af risiciene. Den tekniske dokumentation skal angive de gældende krav og skal, i det omfang det er relevant for vurderingen, omfatte designet, fremstillingen og brugen af produktet med digitale elementer. Den tekniske dokumentation skal, hvor det er relevant, mindst indeholde de elementer, der er anført i bilag VII

støttedokumentationen, der viser egnetheden af de tekniske design- og udviklingsløsninger og sårbarhedshåndteringsprocesserne. I denne støttedokumentation skal nævnes al dokumentation, der er blevet anvendt, særlig hvis de relevante harmoniserede standarder eller tekniske specifikationer ikke er blevet anvendt fuldt ud. I støttedokumentationen skal om nødvendigt indgå resultaterne af afprøvninger, som er blevet foretaget af fabrikantens laboratorium eller af et andet afprøvningslaboratorium på fabrikantens vegne og ansvar.

undersøge den tekniske dokumentation og støttedokumentationen for at vurdere tilstrækkeligheden af det tekniske design og udviklingen af produktet med digitale elementer for så vidt angår de væsentlige cybersikkerhedskrav i bilag I, del I, og af de sårbarhedshåndteringsprocesser, som fabrikanten har indført, for så vidt angår de væsentlige cybersikkerhedskrav i bilag I, del II

kontrollere, at prøveeksemplarer er udviklet og fremstillet i overensstemmelse med den tekniske dokumentation, og fastslå, hvilke elementer der er designet og udviklet i overensstemmelse med de relevante bestemmelser i de pågældende harmoniserede standarder eller tekniske specifikationer, samt hvilke elementer der er designet og udviklet uden anvendelse af de relevante bestemmelser i disse standarder

foretage eller lade foretage de nødvendige undersøgelser og afprøvninger til at kontrollere, at de relevante harmoniserede standarder eller tekniske specifikationer for kravene i bilag I er blevet anvendt korrekt, såfremt fabrikanten har valgt at anvende de løsninger, der er nævnt heri

foretage eller lade foretage de nødvendige undersøgelser og afprøvninger til at kontrollere, at fabrikantens løsninger opfylder de væsentlige cybersikkerhedskrav, såfremt fabrikanten ikke har anvendt de løsninger, der er omhandlet i de relevante harmoniserede standarder eller tekniske specifikationer for kravene i bilag I

aftale med fabrikanten, hvor undersøgelserne og afprøvningerne skal foretages.

Fabrikanten anbringer CE-mærkningen på hvert enkelt produkt med digitale elementer, som er i overensstemmelse med typen beskrevet i EU-typeafprøvningsattesten, og som opfylder de relevante krav i denne forordning.

Fabrikanten udarbejder en skriftlig overensstemmelseserklæring for hver produktmodel og opbevarer den, så den står til rådighed for de nationale myndigheder i ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst. Det skal af overensstemmelseserklæringen fremgå, hvilken produktmodel den vedrører. Et eksemplar af overensstemmelseserklæringen stilles efter anmodning til rådighed for de relevante myndigheder.

Fabrikanten indgiver en ansøgning om vurdering af kvalitetsstyringssystemet for de pågældende produkter med digitale elementer til et bemyndiget organ efter eget valg.

Ansøgningen skal indeholde:

Kvalitetsstyringssystemet skal sikre, at produkterne med digitale elementer opfylder de væsentlige cybersikkerhedskrav i bilag I, del I, og at de sårbarhedshåndteringsprocesser, som fabrikanten har indført, opfylder kravene i bilag I, del II.

Alle de forhold, krav og bestemmelser, som fabrikanten har taget hensyn til, skal dokumenteres på en systematisk og overskuelig måde i form af skriftlige politikker, procedurer og anvisninger. Dokumentationen vedrørende kvalitetsstyringssystemet skal sikre, at kvalitetsprogrammer, -planer, -manualer og -registreringer fortolkes ens.

Den skal navnlig indeholde en fyldestgørende beskrivelse af:

Det bemyndigede organ vurderer kvalitetsstyringssystemet for at fastslå, om det opfylder de i punkt 3.2 omhandlede krav.

De elementer i kvalitetsstyringssystemet, som overholder de relevante specifikationer i den nationale standard, der gennemfører den relevante harmoniserede standard eller tekniske specifikation, skal af det bemyndigede organ anses for at opfylde kravene.

Ud over erfaring med kvalitetsstyringssystemer skal kontrolholdet have mindst ét medlem med erfaring i vurdering på det relevante produktområde og inden for den pågældende produktteknologi og have viden om de gældende krav i denne forordning. Kontrollen skal indbefatte et besøg på fabrikantens eventuelle anlæg. Kontrolholdet skal gennemgå den tekniske dokumentation, der er omhandlet i punkt 3.1, litra b), med henblik på at kontrollere fabrikantens evne til at fastslå de relevante krav i denne forordning og foretage de nødvendige undersøgelser for at sikre, at produktet med digitale elementer overholder disse krav.

Afgørelsen meddeles fabrikanten eller dennes bemyndigede repræsentant.

Meddelelsen skal indeholde resultaterne af kontrollen og begrundelsen for afgørelsen.

Fabrikanten forpligter sig til at opfylde de forpligtelser, der stammer fra kvalitetsstyringssystemet, således som det er godkendt, og til at vedligeholde det, således at det forbliver hensigtsmæssigt og effektivt.

Fabrikanten underretter det bemyndigede organ, som har godkendt kvalitetsstyringssystemet, om enhver påtænkt ændring af systemet.

Det bemyndigede organ evaluerer de foreslåede ændringer og afgør, om det ændrede kvalitetsstyringssystem stadig opfylder de i punkt 3.2 omhandlede krav, eller om en fornyet vurdering er nødvendig.

Det bemyndigede organ meddeler fabrikanten sin afgørelse. Meddelelsen skal indeholde resultaterne af undersøgelsen og en begrundelse for afgørelsen.

Formålet med overvågningen er at sikre, at fabrikanten behørigt opfylder de forpligtelser der stammer fra det godkendte kvalitetssystem.

Fabrikanten skal med henblik på kontrol give det bemyndigede organ adgang til design-, udviklings-, produktions-, inspektions-, afprøvnings- og lagerfaciliteterne og give det alle nødvendige oplysninger, navnlig:

Det bemyndigede organ aflægger jævnligt kontrolbesøg for at sikre, at fabrikanten opretholder og anvender kvalitetsstyringssystemet, og det udsteder en kontrolrapport til fabrikanten.

Fabrikanten anbringer CE-mærkningen, og på det i punkt 3.1 omhandlede bemyndigede organs ansvar dette organs identifikationsnummer på hvert produkt med digitale elementer, som opfylder kravene i bilag I, del I.

Fabrikanten udarbejder en skriftlig overensstemmelseserklæring for hver produktmodel og opbevarer den, så den står til rådighed for de nationale myndigheder i ti år efter, at produktet med digitale elementer er blevet bragt i omsætning, eller i supportperioden, alt efter hvilket tidsrum der er længst. Det skal af overensstemmelseserklæringen fremgå, hvilken produktmodel den vedrører.

Et eksemplar af overensstemmelseserklæringen stilles efter anmodning til rådighed for de relevante myndigheder.

den i punkt 3.1 omhandlede tekniske dokumentation

den i punkt 3.1 omhandlede dokumentation vedrørende kvalitetsstyringssystemet

de i punkt 3.5 omhandlede ændringer som godkendt

de i punkt 3.5 og 4.3 omhandlede afgørelser og rapporter fra det bemyndigede organ.