▼C1 REGULATION (EU) 2024/2847 OF THE EUROPEAN PARLIAMENT AND OF THE COUNCIL of 23 October 2024 on horizontal cybersecurity requirements for products with digital elements and amending Regulations (EU) No 168/2013 and (EU) 2019/1020 and Directive (EU) 2020/1828 (Cyber Resilience Act) ▼B (Text with EEA relevance)

so dostopni na trgu brez znanih ranljivosti, ki jih je mogoče izrabljati;

so dostopni na trgu s konfiguracijo po načelu privzete varnosti, razen če se proizvajalec in poslovni uporabnik v zvezi s prilagojenim izdelkom z digitalnimi elementi dogovorita drugače, vključno z možnostjo ponastavitve izdelka v prvotno stanje;

zagotavljajo, da je ranljivosti mogoče odpraviti z varnostnimi posodobitvami, po potrebi tudi s samodejnimi varnostnimi posodobitvami, nameščenimi v ustreznem časovnem okviru v skladu s privzeto nastavitvijo, z jasnim in enostavnim mehanizmom za zavrnitev, ki je enostaven za uporabo, z obveščanjem uporabnikov o razpoložljivih posodobitvah in možnostjo začasne odložitve;

z ustreznimi nadzornimi mehanizmi zagotavljajo zaščito pred nepooblaščenim dostopom, med drugim tudi s sistemi avtentikacije, upravljanja identitete ali upravljanja dostopa, ter poročajo o morebitnem nepooblaščenem dostopu;

varujejo zaupnost shranjenih, prenesenih ali drugače obdelanih podatkov, osebnih ali drugih, na primer s šifriranjem zadevnih podatkov v mirovanju ali pri prenosu z najnovejšimi mehanizmi in z uporabo drugih tehničnih sredstev;

varujejo celovitost shranjenih, prenesenih ali drugače obdelanih podatkov, osebnih ali drugih, ukazov, programov in nastavitev pred kakršnim koli poseganjem ali spreminjanjem, ki ga ne odobri uporabnik, ter poročajo o okvarah podatkov;

obdelujejo le tiste podatke, osebne ali druge, ki so ustrezni, relevantni in omejeni na tisto, kar je potrebno glede na predvideni namen izdelka z digitalnimi elementi (najmanjši obseg podatkov);

varujejo razpoložljivost ključnih in osnovnih funkcij, tudi po incidentu, vključno z odpornostjo proti napadom za zavrnitev storitve in ukrepi za zmanjšanje negativnih vplivov takih napadov;

zmanjšujejo negativni vpliv samih izdelkov ali povezanih naprav na razpoložljivost storitev, ki jih zagotavljajo druge naprave ali omrežja;

zasnovani, razviti in izdelani so tako, da se omejijo napadne površine, vključno z zunanjimi vmesniki;

zasnovani, razviti in izdelani so tako, da se zmanjša vpliv incidenta z uporabo ustreznih mehanizmov in tehnik za zmanjšanje negativnih vplivov izrabljanja;

zagotavljajo informacije, ki se nanašajo na varnost, in sicer z beleženjem in spremljanjem zadevnih internih dejavnosti, vključno z dostopom do podatkov, storitev ali funkcij ali njihovim spreminjanjem, z mehanizmom odklonitve za uporabnika;

uporabnikom omogočajo, da varno in enostavno trajno odstranijo vse podatke in nastavitve ter, kadar je te podatke mogoče prenesti v druge izdelke ali sisteme, zagotovijo, da se to izvede na varen način.

opredelijo in dokumentirajo ranljivosti in sestavne dele izdelkov z digitalnimi elementi, vključno s pripravo kosovnice za programsko opremo v splošno uporabni in strojno berljivi obliki, ki vsebuje vsaj najpomembnejše odvisnosti izdelkov;

brez odlašanja obravnavajo in odpravijo ranljivosti v zvezi s tveganji za izdelke z digitalnimi elementi, tudi z zagotavljanjem varnostnih posodobitev; kadar je to tehnično izvedljivo, se nove varnostne posodobitve zagotovijo ločeno od posodobitev funkcionalnosti;

izvajajo učinkovita in redna preverjanja in preglede varnosti izdelkov z digitalnimi elementi;

ko je na voljo varnostna posodobitev, delijo in javno razkrijejo informacije o odpravljenih ranljivostih, vključno z opisom ranljivosti, informacijami, ki uporabnikom omogočajo opredeliti prizadeti izdelek z digitalnimi elementi, vplivi ranljivosti, njihovo resnostjo ter jasnimi in dostopnimi informacijami, ki uporabnikom omogočajo odpravo ranljivosti; v ustrezno utemeljenih primerih, kadar proizvajalci menijo, da varnostna tveganja razkritja prevladajo nad varnostnimi koristmi, lahko odložijo razkritje informacij o odpravljeni ranljivosti, dokler uporabniki ne dobijo možnosti, da uporabijo ustrezni popravek;

vzpostavijo in izvršujejo politiko usklajenega razkritja ranljivosti;

sprejmejo ukrepe za lajšanje izmenjave informacije o potencialnih ranljivostih svojih izdelkov z digitalnimi elementi ter sestavnih delov tretjih oseb, ki jih taki izdelki vsebujejo, tudi z zagotavljanjem kontaktnega naslova za poročanje o odkritih ranljivostih v izdelkih z digitalnimi elementi;

zagotovijo mehanizme za varno razširjanje posodobitev za izdelke z digitalnimi elementi, da se ranljivosti odpravijo ali zmanjšajo pravočasno in v primeru varnostnih posodobitev po potrebi samodejno;

brez odlašanja in, kadar se proizvajalec in poslovni uporabnik v zvezi z izdelkom po meri z digitalnimi elementi ne dogovorita drugače, brezplačno zagotovijo razširjanje varnostnih posodobitev, kadar so ti na voljo za odpravo zaznanih varnostnih težav, ter jim priložijo nasvete za uporabnike z ustreznimi informacijami, tudi o morebitnih ukrepih, ki jih morajo ti sprejeti.

ime, registrirano trgovsko ime ali registrirana znamka proizvajalca, poštni naslov, elektronski naslov ali drug digitalni stik ter spletno mesto, na katerem je proizvajalec dosegljiv, kadar je na voljo;

enotna kontaktna točka, kjer je mogoče sporočiti in prejeti informacije o ranljivostih izdelka z digitalnimi elementi in kjer je mogoče najti politiko proizvajalca o usklajenem razkrivanju ranljivosti;

ime, vrsta in vse dodatne informacije, ki omogočajo edinstveno identifikacijo izdelka z digitalnimi elementi;

predvideni namen uporabe izdelka z digitalnimi elementi, vključno z varnostnim okoljem, ki ga zagotavlja proizvajalec, ter ključne funkcije in informacije o varnostnih lastnostih;

vse znane ali predvidljive okoliščine, povezane z uporabo izdelka z digitalnimi elementi v skladu z njegovim predvidenim namenom ali v razmerah razumno predvidljive napačne uporabe, ki lahko pripeljejo do povečanega tveganja za kibernetsko varnost;

kadar je ustrezno, spletni naslov, kjer je na voljo EU izjava o skladnosti;

vrsta tehnične varnostne podpore, ki jo ponuja proizvajalec, in končni datum obdobja podpore, v katerem lahko uporabniki pričakujejo odpravo ranljivosti in prejemanje varnostnih posodobitev;

podrobna navodila ali spletni naslov s takimi podrobnimi navodili in informacijami o:

Če se proizvajalec odloči, da bo uporabniku dal na voljo kosovnico za programsko opremo, informacije o tem, kje je mogoče dobiti dostop do te kosovnice.

ime, vrsto in vse dodatne informacije, ki omogočajo edinstveno identifikacijo izdelka z digitalnimi elementi

ime in naslov proizvajalca ali njegovega pooblaščenega zastopnika

izjavo, da je za izdajo EU izjave o skladnosti odgovoren izključno proizvajalec

predmet izjave (identifikacija izdelka z digitalnimi elementi, ki omogoča sledljivost; kadar je ustrezno, se lahko priloži fotografija)

izjavo, da je predmet zgoraj navedene izjave skladen z ustrezno harmonizacijsko zakonodajo Unije

sklice na morebitne uporabljene ustrezne harmonizirane standarde ali druge skupne specifikacije ali certifikacijske sheme kibernetske varnosti, v zvezi s katerimi se zatrjuje skladnost

kadar je ustrezno, ime in številko priglašenega organa, opis opravljenega postopka ugotavljanja skladnosti in identifikacijo izdanega potrdila

dodatne informacije:

Podpisano v imenu in za račun:

(kraj in datum izdaje):

(ime, funkcija) (podpis):

splošni opis izdelka z digitalnimi elementi, ki vključuje:

opis zasnove, razvoja in proizvodnje izdelka z digitalnimi elementi ter postopkov obravnavanja ranljivosti, ki vključuje:

oceno tveganja za kibernetsko varnost, ki je upoštevana pri zasnovi, razvoju, proizvodnji, dobavi in vzdrževanju izdelka z digitalnimi elementi na podlagi člena 13, vključno s tem, kako se uporabljajo bistvene zahteve glede kibernetske varnosti iz dela I Priloge I;

ustrezne informacije, ki so bile upoštevane pri določitvi obdobja podpore na podlagi člena 13(8) izdelka z digitalnimi elementi;

Seznam harmoniziranih standardov, ki se uporabljajo v celoti ali delno in katerih sklici so bili objavljeni v Uradnem listu Evropske unije, skupnih specifikacij, kakor so določene v členu 27 te uredbe, ali evropskih certifikacijskih shem kibernetske varnost, sprejetih na podlagi Uredba (EU) 2019/881 na podlagi člena 27(8) te uredbe ter, kadar ti harmonizirani standardi, skupne specifikacije ali evropske certifikacijske sheme kibernetske varnosti niso bili uporabljeni, opis rešitev, sprejetih za izpolnitev bistvenih zahtev glede kibernetske varnosti iz delov I in II Priloge I, vključno s seznamom drugih ustreznih tehničnih specifikacij, ki so bile uporabljene. V primeru delne uporabe harmoniziranih standardov, skupnih specifikacij ali evropskih certifikacijskih shem kibernetske varnosti se v tehnični dokumentaciji navedejo deli, ki so bili uporabljeni;

poročila o preskusih, opravljenih za preverjanje skladnosti izdelka in postopkov obravnavanja ranljivosti z veljavnimi bistvenimi zahtevami glede kibernetske varnosti, kakor so določene v delih I in II Priloge I;

izvod EU izjave o skladnosti;

kadar je ustrezno, kosovnico za programsko opremo na podlagi obrazložene zahteve organa za nadzor trga, če je to potrebno, da lahko navedeni organ preveri skladnost z bistvenimi zahtevami glede kibernetske varnosti iz Priloge I.

ime in naslov proizvajalca ter, če je zahtevek vložil pooblaščeni zastopnik, ime in naslov tega pooblaščenega zastopnika;

pisno izjavo, da enaka vloga ni bila vložena pri nobenem drugem priglašenem organu;

tehnično dokumentacijo, ki omogoča ugotavljanje skladnosti izdelka z digitalnimi elementi z veljavnimi bistvenimi zahtevami glede kibernetske varnosti, kakor so določene v delu I Priloge I, in proizvajalčevih postopkov obravnavanja ranljivosti, kot je določeno v delu II Priloge I, ter vključuje ustrezno analizo in oceno tveganj. Tehnična dokumentacija opredeljuje veljavne zahteve in vključuje, če je to pomembno za ugotavljanje skladnosti, zasnovo, izdelavo in delovanje izdelka z digitalnimi elementi. Če je ustrezno, tehnična dokumentacija vsebuje vsaj elemente iz Priloge VII;

dodatna dokazila glede ustreznosti tehnične zasnove in razvojnih rešitev ter postopkov obravnavanja ranljivosti. V teh dodatnih dokazilih so navedeni vsi uporabljeni dokumenti, zlasti kadar ustrezni harmonizirani standardi ali tehnične specifikacije niso bili uporabljeni v celoti. Dodatna dokazila, kadar je potrebno, po potrebi vključujejo rezultate preskusov, ki jih je izvedel ustrezni laboratorij proizvajalca ali drug preskuševalni laboratorij v njegovem imenu in na njegovo odgovornost.

pregleda tehnično dokumentacijo in dodatna dokazila, da oceni ustreznost tehnične zasnove in razvoja izdelka z digitalnimi elementi glede na bistvene zahteve glede kibernetske varnosti iz dela I Priloge I ter postopkov obravnavanja ranljivosti, ki jih je vzpostavil proizvajalec, glede na bistvene zahteve glede kibernetske varnosti iz dela II Priloge I;

preveri, ali so bili vzorci razviti ali izdelani v skladu s tehnično dokumentacijo, ter določi elemente, ki so bili zasnovani in razviti v skladu z veljavnimi določbami ustreznih harmoniziranih standardov ali tehničnih specifikacij, pa tudi elemente, ki so bili zasnovani in razviti, ne da bi bile upoštevane ustrezne določbe navedenih standardov;

izvede ali naroči ustrezne preglede in preskuse, s katerimi preveri, ali je proizvajalec, kadar se je odločil za uporabo rešitev iz ustreznih harmoniziranih standardov ali tehničnih specifikacij za zahteve iz Priloge I, te pravilno upošteval;

izvede ali naroči ustrezne preglede in preskuse, s katerimi preveri, ali v primeru neuporabe rešitev iz ustreznih harmoniziranih standardov ali tehničnih specifikacij za zahteve iz Priloge I, rešitve, ki jih je uporabil proizvajalec, izpolnjujejo ustrezne bistvene zahteve glede kibernetske varnosti;

se dogovori z proizvajalcem o kraju, kjer bodo opravljeni pregledi in preskusi.

Proizvajalec namesti oznako CE na vsak posamezni izdelek z digitalnimi elementi, ki je skladen s tipom, opisanim v potrdilu o EU-pregledu tipa, in izpolnjuje veljavne zahteve določene v tej uredbi.

Proizvajalec za vzorčni izdelek sestavi pisno izjavo o skladnosti in nacionalnim organom omogoča dostop do nje še deset let po tem, ko je bil izdelek z digitalnimi elementi dan na trg ali v obdobju podpore, pri čemer se upošteva daljše obdobje. V izjavi o skladnosti je opredeljen vzorčni izdelek, za katerega je bila pripravljena. Na zahtevo se pristojnim organom predloži izvod izjave o skladnosti.

Proizvajalec vloži vlogo za oceno svojega sistema kakovosti v zvezi z zadevnimi izdelki z digitalnimi elementi pri priglašenem organu, ki ga sam izbere.

Vloga vsebuje:

S sistemom kakovosti se zagotovi skladnost izdelkov z digitalnimi elementi z bistvenimi zahtevami glede kibernetske varnosti iz dela I Priloge I, ter skladnost postopkov obravnavanja ranljivosti, ki jih je vzpostavil proizvajalec, z zahtevami iz dela II Priloge I.

Vsi elementi, zahteve in predpisi, ki jih je sprejel proizvajalec, se sistematično in urejeno pisno dokumentirajo v obliki politik, postopkov in navodil. Navedena dokumentacija o sistemu kakovosti omogoča dosledno razlago programov, načrtov, priročnikov in zapisov o kakovosti.

Zlasti vsebuje ustrezen opis:

Priglašeni organ oceni sistem kakovosti, da ugotovi, ali izpolnjuje zahteve iz točke 3.2.

Ta organ domneva, da so elementi sistema kakovosti, ki so v skladu z ustreznimi specifikacijami nacionalnega standarda, s katerim se izvaja ustrezni harmonizirani standard ali tehnična specifikacija, skladni z navedenimi zahtevami.

Skupina za presojo ima poleg izkušenj s sistemi vodenja kakovosti vsaj enega člana, ki ima izkušnje z ocenjevanjem na ustreznem področju izdelkov in zadevne tehnologije izdelkov ter pozna veljavne zahteve iz te uredbe. Presoja vključuje ocenjevalni obisk prostorov proizvajalca, kadar ti obstajajo. Skupina za presojo pregleda tehnično dokumentacijo iz točke 3.1(b), da ugotovi, ali je proizvajalec zmožen opredeliti veljavne zahteve iz te uredbe in izvesti potrebne preglede za zagotovitev skladnosti izdelka z digitalnimi elementi s temi zahtevami.

Proizvajalec ali njegov pooblaščeni zastopnik je obveščen o odločitvi.

Obvestilo vsebuje rezultate presoje in obrazložitev odločitve o oceni.

Proizvajalec se zavezuje izpolnjevati obveznosti, ki izhajajo iz odobrenega sistema kakovosti, ter vzdrževati sistem kakovosti tako, da ostane ustrezen in učinkovit.

Proizvajalec obvešča priglašeni organ, ki je odobril sistem kakovosti, o vseh načrtovanih spremembah sistema kakovosti.

Priglašeni organ oceni predlagane spremembe in se odloči, ali bo spremenjeni sistem kakovosti še naprej izpolnjeval zahteve iz točke 3.2 ali pa je potrebna ponovna ocena.

O svoji odločitvi obvesti izvajalca. Obvestilo vsebuje ugotovitve pregleda in utemeljitev odločitve o oceni.

Namen nadzora je zagotoviti, da proizvajalec ustrezno izpolnjuje obveznosti, ki izhajajo iz odobrenega sistema kakovosti.

Proizvajalec priglašenemu organu za namene ocene omogoči vstop v prostore za zasnovo, razvoj, proizvodnjo, pregled, preskušanje in skladiščenje ter mu zagotovi vse potrebne informacije, zlasti:

Priglašeni organ redno izvaja presoje, s čimer zagotavlja, da proizvajalec vzdržuje in uporablja sistem kakovosti, ter proizvajalcu izda poročilo o presoji.

Proizvajalec namesti oznako CE in na podlagi odgovornosti priglašenega organa iz točke 3.1 njegovo identifikacijsko številko na vsak posamezni izdelek z digitalnimi elementi, ki izpolnjuje zahteve iz dela I Priloge I.

Proizvajalec za vsak vzorčni izdelek sestavi pisno izjavo o skladnosti in nacionalnim organom omogoča dostop do nje še deset let po tem, ko je bil izdelek z digitalnimi elementi dan na trg ali v obdobju podpore, pri čemer se upošteva daljše obdobje. V izjavi o skladnosti je opredeljen vzorčni izdelek, za katerega je bila pripravljena.

Na zahtevo se pristojnim organom predloži izvod izjave o skladnosti.

tehnična dokumentacija iz točke 3.1;

dokumentacija o sistemu kakovosti iz točke 3.1;

sprememba iz točke 3.5, kakor je bila odobrena;

odločbe in poročila priglašenega organa iz točk 3.5 in 4.3.