KAPITOLA I VŠEOBECNÉ USTANOVENIA

pravidlá sprístupňovania produktov s digitálnymi prvkami na trhu s cieľom zaistiť ich kybernetickú bezpečnosť;

základné požiadavky kybernetickej bezpečnosti na návrh, vývoj a výrobu produktov s digitálnymi prvkami a povinnosti hospodárskych subjektov v súvislosti s týmito produktmi, pokiaľ ide o kybernetickú bezpečnosť;

základné požiadavky kybernetickej bezpečnosti na procesy riešenia zraniteľností zavedené výrobcami s cieľom zaistiť kybernetickú bezpečnosť produktov s digitálnymi prvkami počas predpokladaného obdobia používania produktov, a povinnosti hospodárskych subjektov v súvislosti s týmito procesmi;

pravidlá dohľadu nad trhom vrátane monitorovania a presadzovanie pravidiel a požiadaviek uvedených v tomto článku.

„produkt s digitálnymi prvkami“ je softvérový alebo hardvérový produkt a jeho riešenia spracovania údajov na diaľku vrátane softvérových alebo hardvérových komponentov, ktoré sa uvádzajú na trh samostatne;

„spracovanie údajov na diaľku“ je spracovanie údajov na diaľku, pre ktoré je softvér navrhnutý a vyvinutý výrobcom alebo na zodpovednosť výrobcu a ktorého neexistencia by bránila produktu s digitálnymi prvkami plniť jednu z jeho funkcií;

„kybernetická bezpečnosť“ je kybernetická bezpečnosť v zmysle vymedzenia v článku 2 bode 1 nariadenia (EÚ) 2019/881;

„softvér“ je časť elektronického informačného systému, ktorý pozostáva z počítačového kódu;

„hardvér“ je fyzický elektronický informačný systém alebo jeho časti so schopnosťou spracúvať, uchovávať alebo prenášať digitálne údaje;

„komponent“ je softvér alebo hardvér určený na integráciu do elektronického informačného systému;

„elektronický informačný systém“ je systém vrátane elektrických alebo elektronických zariadení, ktorý je schopný spracúvať, uchovávať alebo prenášať digitálne údaje;

„logické pripojenie“ je virtuálna forma dátového spojenia realizovaná prostredníctvom softvérového rozhrania;

„fyzické pripojenie“ je spojenie medzi elektronickými informačnými systémami alebo komponentmi realizované s použitím fyzických prostriedkov vrátane elektrických, optických alebo mechanických rozhraní, vodičov alebo rádiových vĺn;

„nepriame pripojenie“ je pripojenie k zariadeniu alebo sieti, ktoré sa nevykonáva priamo, ale skôr ako súčasť väčšieho systému, ktorý je priamo pripojiteľný k takémuto zariadeniu alebo sieti;

„koncový bod“ je akékoľvek zariadenie, ktoré je pripojené k sieti a slúži ako vstupný bod do danej siete;

„hospodársky subjekt“ je výrobca, splnomocnený zástupca, dovozca, distribútor alebo iná fyzická alebo právnická osoba, ktorá podlieha povinnostiam súvisiacim s výrobou produktov s digitálnymi prvkami alebo so sprístupňovaním produktov s digitálnymi prvkami na trhu v súlade s týmto nariadením;

„výrobca“ je fyzická alebo právnická osoba, ktorá vyvíja alebo vyrába produkty s digitálnymi prvkami alebo si dáva navrhnúť, vyvinúť alebo vyrobiť produkty s digitálnymi prvkami a predáva ich pod svojím menom alebo svojou ochrannou známkou, či už za odplatu, speňaženie alebo bezodplatne;

„správca softvéru s otvoreným zdrojovým kódom“ je právnická osoba iná ako výrobca, ktorej účelom alebo cieľom je systematicky a trvalo podporovať vývoj špecifických produktov s digitálnymi prvkami považovaných za slobodný softvér a softvér s otvoreným zdrojovým kódom a určených na obchodné činnosti, a ktorá zabezpečuje životaschopnosť týchto produktov;

„splnomocnený zástupca“ je fyzická alebo právnická osoba usadená v Únii, ktorej bolo doručené písomné splnomocnenie od výrobcu konať v jeho mene v súvislosti s konkrétnymi úlohami;

„dovozca“ je fyzická alebo právnická osoba usadená v Únii, ktorá uvádza na trh produkt s digitálnymi prvkami označený menom alebo ochrannou známkou fyzickej alebo právnickej osoby usadenej mimo Únie;

„distribútor“ je fyzická alebo právnická osoba v dodávateľskom reťazci okrem výrobcu alebo dovozcu, ktorá na trhu Únie sprístupňuje produkt s digitálnymi prvkami bez toho, aby ovplyvňovala jeho vlastnosti;

„spotrebiteľ“ je fyzická osoba, ktorá koná na účely, ktoré nesúvisia s jej obchodnou činnosťou, podnikaním, remeslom alebo povolaním;

„mikropodniky“, „malé podniky“ a „stredné podniky“ sú mikropodniky, malé a stredné podniky v zmysle vymedzenia v prílohe k odporúčaniu 2003/361/ES;

„obdobie podpory“ je obdobie, počas ktorého je výrobca povinný zabezpečiť účinné riešenie zraniteľností produktu s digitálnymi prvkami v súlade so základnými požiadavkami kybernetickej bezpečnosti stanovenými v časti II prílohy I;

„uvedenie na trh“ je prvé sprístupnenie produktu s digitálnymi prvkami na trhu Únie;

„sprístupnenie na trhu“ je dodávka produktu s digitálnymi prvkami na distribúciu alebo použitie na trhu Únie v rámci obchodnej činnosti, či už za odplatu alebo bezodplatne;

„zamýšľaný účel“ je použitie produktu s digitálnymi prvkami, ktoré určil výrobca, vrátane osobitného kontextu a podmienok používania, ako sa uvádza v informáciách od výrobcu v návode na použitie, v propagačných alebo predajných materiáloch a vyhláseniach, ako aj v technickej dokumentácii;

„odôvodnene predvídateľné použitie“ je použitie, ktoré nemusí byť nevyhnutne zamýšľaným účelom, ktorý výrobca uvádza v návode na použitie, v propagačných alebo predajných materiáloch a vyhláseniach, ako aj v technickej dokumentácii, ale ktoré pravdepodobne vyplynie z odôvodnene predvídateľného ľudského správania alebo technických operácií či interakcií;

„odôvodnene predvídateľné nesprávne použitie“ je použitie produktu s digitálnymi prvkami spôsobom, ktorý nie je v súlade so zamýšľaným účelom, ale ktorý môže vyplynúť z odôvodnene predvídateľného ľudského správania alebo interakcie s inými systémami;

„notifikujúci orgán“ je vnútroštátny orgán zodpovedný za stanovenie a vykonávanie nevyhnutných postupov na posudzovanie, určovanie a notifikáciu orgánov posudzovania zhody a za ich monitorovanie;

„posudzovanie zhody“ je postup, ktorým sa overuje, či boli splnené základné požiadavky kybernetickej bezpečnosti stanovené v prílohe I;

„orgán posudzovania zhody“ je orgán posudzovania zhody v zmysle vymedzenia v článku 2 bode 13 nariadenia (ES) č. 765/2008;

„notifikovaná osoba“ je orgán posudzovania zhody určený v súlade s článkom 43 a inými relevantnými harmonizačnými právnymi predpismi Únie;

„podstatná úprava“ je zmena produktu s digitálnymi prvkami po jeho uvedení na trh, ktorá ovplyvňuje súlad produktu s digitálnymi prvkami so základnými požiadavkami kybernetickej bezpečnosti stanovenými v časti I prílohy I alebo ktorá vedie k úprave zamýšľaného účelu, pre ktoré bol produkt s digitálnymi prvkami posudzovaný;

„označenie CE“ je označenie, ktorým výrobca vyjadruje, že produkt s digitálnymi prvkami a procesy zavedené výrobcom sú v súlade so základnými požiadavkami kybernetickej bezpečnosti stanovenými v prílohe I a s inými uplatniteľnými harmonizačnými právnymi predpismi Únie, ktoré stanovujú umiestnenie tohto označenia;

„harmonizačné právne predpisy Únie“ sú právne predpisy Únie uvedené v prílohe I k nariadeniu (EÚ) 2019/1020 a akékoľvek iné právne predpisy Únie, ktorými sa harmonizujú podmienky uvádzania výrobkov, na ktoré sa uvedené nariadenie vzťahuje, na trh;

„orgán dohľadu nad trhom“ je orgán dohľadu nad trhom v zmysle vymedzenia v článku 3 bode 4 nariadenia (EÚ) 2019/1020;

„medzinárodná norma“ je medzinárodná norma v zmysle vymedzenia v článku 2 ods. 1 písm. a) nariadenia (EÚ) č. 1025/2012;

„európska norma“ je európska norma v zmysle vymedzenia v článku 2 bode 1 písm. b) nariadenia (EÚ) č. 1025/2012;

„harmonizovaná norma“ je harmonizovaná norma v zmysle vymedzenia v článku 2 bode 1 písm. c) nariadenia (EÚ) č. 1025/2012;

„kybernetickobezpečnostné riziko“ je potenciál straty alebo narušenia v dôsledku incidentu a má byť vyjadrené ako kombinácia rozsahu takejto straty alebo narušenia a pravdepodobnosti výskytu incidentu;

„významné kybernetickobezpečnostné riziko“ je kybernetickobezpečnostné riziko, pri ktorom možno na základe jeho technických charakteristík predpokladať vysokú pravdepodobnosť incidentu, ktorý by mohol viesť k závažnému negatívnemu vplyvu, a to aj spôsobením značnej majetkovej alebo nemajetkovej ujmy či narušenia;

„zoznam softvéru“ je formálny záznam obsahujúci podrobnosti a vzťahy v rámci dodávateľského reťazca komponentov zahrnutých v softvérových prvkoch produktu s digitálnymi prvkami;

„zraniteľnosť“ je slabá stránka, náchylnosť alebo chyba produktu s digitálnymi prvkami, ktorú môže zneužiť kybernetická hrozba;

„zneužiteľná zraniteľnosť“ je zraniteľnosť, ktorú môže nepriateľský subjekt účinne využiť za reálnych prevádzkových podmienok;

„aktívne zneužívaná zraniteľnosť“ je zraniteľnosť, v prípade ktorej existuje spoľahlivý dôkaz, že škodlivý subjekt ju zneužil v systéme bez povolenia vlastníka systému;

„incident“ je incident v zmysle vymedzenia v článku 6 bode 6 smernice (EÚ) 2022/2555;

„incident, ktorý ma vplyv na bezpečnosť produktu s digitálnymi prvkami“ je incident, ktorý negatívne ovplyvňuje alebo môže negatívne ovplyvniť schopnosť produktu s digitálnymi prvkami chrániť dostupnosť, pravosť, integritu alebo dôvernosť údajov alebo funkcií;

„udalosť odvrátená v poslednej chvíli“ je udalosť odvrátená v poslednej chvíli v zmysle vymedzenia v článku 6 bode 5 smernice (EÚ) 2022/2555;

„kybernetická hrozba“ je kybernetická hrozba v zmysle vymedzenia v článku 2 bode 8 nariadenia (EÚ) 2019/881;

„osobné údaje“ sú osobné údaje v zmysle vymedzenia v článku 4 bode 1 nariadenia (EÚ) 2016/679;

„slobodný softvér a softvér s otvoreným zdrojovým kódom“ je softvér, ktorého zdrojový kód je voľne dostupný a ktorý je vytvorený na základe bezplatnej a otvorenej licencie, ktorá udeľuje všetky práva na voľný prístup k nemu, jeho použiteľnosť, modifikovateľnosť a redistribúciu;

„spätné prevzatie“ je spätné prevzatie v zmysle vymedzenia v článku 3 bode 22 nariadenia (EÚ) 2019/1020;

„stiahnutie“ je stiahnutie v zmysle vymedzenia v článku 3 bode 23 nariadenia (EÚ) 2019/1020;

„jednotka CSIRT určená za koordinátora“ je jednotka CSIRT určená za koordinátora podľa článku 12 ods. 1 smernice (EÚ) 2022/2555.

spĺňajú základné požiadavky kybernetickej bezpečnosti stanovené v časti I prílohy I za predpokladu, že sú riadne nainštalované, udržiavané, používané na ich zamýšľaný účel alebo za podmienok, ktoré možno odôvodnene predvídať, a prípadne s nainštalovanými potrebnými aktualizáciami; a

postupy zavedené výrobcom sú v súlade so základnými požiadavkami kybernetickej bezpečnosti stanovenými v časti II prílohy I.

rozvoj zručností v oblasti kybernetickej bezpečnosti a vytváranie organizačných a technologických nástrojov na zabezpečenie dostatočnej dostupnosti kvalifikovaných odborníkov s cieľom podporiť činnosti orgánov dohľadu nad trhom a orgánov posudzovania zhody;

rozšírenie spolupráce medzi súkromným sektorom, hospodárskymi subjektmi, a to aj prostredníctvom rekvalifikácie alebo zvyšovania kvalifikácie zamestnancov výrobcov, spotrebiteľov, poskytovateľov vzdelávania a odbornej prípravy, ako aj verejnej správy, čím sa rozšíria možnosti prístupu mladých ľudí k pracovným príležitostiam v odvetví kybernetickej bezpečnosti.