POGLAVJE I SPLOŠNE DOLOČBE

pravila za omogočanje dostopnosti izdelkov z digitalnimi elementi na trgu za zagotovitev njihove kibernetske varnosti;

bistvene zahteve glede kibernetske varnosti za zasnovo, razvoj in proizvodnjo izdelkov z digitalnimi elementi ter obveznosti gospodarskih subjektov v zvezi s kibernetsko varnostjo teh izdelkov;

bistvene zahteve glede kibernetske varnosti za postopke obravnavanja ranljivosti, ki jih vzpostavijo proizvajalci, za zagotovitev kibernetske varnosti izdelkov z digitalnimi elementi v času, ko naj bi se izdelki uporabljali, ter obveznosti gospodarskih subjektov v zvezi s temi postopki;

pravila o nadzoru trga, vključno s spremljanjem, ter izvrševanje pravil in zahtev iz tega člena.

„izdelek z digitalnimi elementi“ pomeni izdelek programske ali strojne opreme ter njegove rešitve za daljinsko obdelavo podatkov, vključno s sestavnimi deli programske ali strojne opreme, ki se dajejo na trg ločeno;

„daljinska obdelava podatkov“ pomeni obdelavo podatkov na daljavo, za katero je programsko opremo zasnoval in razvil proizvajalec ali je bila zasnovana in razvita pod njegovo odgovornostjo ter brez katere izdelek z digitalnimi elementi ne bi mogel opravljati ene od svojih funkcij;

„kibernetska varnost“ pomeni kibernetsko varnost, kakor je opredeljena v členu 2, točka 1, Uredbe (EU) 2019/881;

„programska oprema“ pomeni del elektronskega informacijskega sistema, ki ga sestavlja računalniška koda;

„strojna oprema“ pomeni fizičen elektronski informacijski sistem, s katerim je mogoče obdelovati, shranjevati ali pošiljati digitalne podatke, ali njegove dele;

„sestavni del“ pomeni programsko ali strojno opremo, predvideno za vgradnjo v elektronski informacijski sistem;

„elektronski informacijski sistem“ pomeni sistem, vključno z električno ali elektronsko opremo, s katerim je mogoče obdelovati, shranjevati ali pošiljati digitalne podatke;

„logična povezava“ pomeni virtualno predstavitev podatkovne povezave, vzpostavljene prek vmesniške programske opreme;

„fizična povezava“ pomeni povezavo med elektronskimi informacijskimi sistemi ali sestavnimi deli, vzpostavljeno s fizičnimi sredstvi, vključno z električnimi, optičnimi ali mehanskimi vmesniki, žicami ali radijskimi valovi;

„posredna povezava“ pomeni povezavo z napravo ali omrežjem, ki ni neposredna, ampak je del večjega sistema, ki ga je mogoče povezati neposredno s tako napravo ali omrežjem;

„končna točka“ pomeni vsako napravo, ki je povezana z omrežjem in se uporablja kot vstopna točka v to omrežje;

„gospodarski subjekt“ pomeni proizvajalca, pooblaščenega zastopnika, uvoznika, distributerja ali drugo fizično ali pravno osebo, za katero veljajo obveznosti v zvezi s proizvodnjo izdelkov z digitalnimi elementi ali omogočanjem dostopnosti izdelkov z digitalnimi elementi na trgu v skladu s to uredbo;

„proizvajalec“ pomeni fizično ali pravno osebo, ki razvija ali izdeluje izdelke z digitalnimi elementi ali za katero se taki izdelki oblikujejo, razvijajo ali izdelujejo ter ki jih trži pod svojim imenom ali znamko, bodisi za plačilo, monetizacijo ali brezplačno;

„upravljavec odprtokodne programske opreme“ pomeni pravno osebo, ki ni proizvajalec in katere namen ali cilj je sistematično in trajno zagotavljati podporo za razvoj posebnih izdelkov z digitalnimi elementi, ki se štejejo za prosto in odprtokodno programsko opremo ter so namenjeni komercialnim dejavnostim, in ki zagotavlja sposobnost preživetja teh izdelkov;

„pooblaščeni zastopnik“ pomeni fizično ali pravno osebo s sedežem v Uniji, ki jo je proizvajalec pisno pooblastil, da v njegovem imenu opravlja določene naloge;

„uvoznik“ pomeni fizično ali pravno osebo s sedežem v Uniji, ki da na trg izdelek z digitalnimi elementi, ki nosi ime ali znamko fizične ali pravne osebe s sedežem zunaj Unije;

„distributer“ pomeni fizično ali pravno osebo v dobavni verigi, razen proizvajalca ali uvoznika, ki da izdelek z digitalnimi elementi na trg Unije, ne da bi vplival na njegove lastnosti;

„potrošnik“ pomeni fizično osebo, ki deluje zunaj okvira svoje trgovske, poslovne, obrtne ali poklicne dejavnosti;

„mikropodjetja“, „mala podjetja“ in „srednja podjetja“ pomeni mikropodjetja, mala in srednja podjetja, kakor so opredeljena v Prilogi k Priporočilu 2003/361/ES;

„obdobje podpore“ pomeni obdobje, v katerem mora proizvajalec zagotoviti, da se ranljivosti izdelka z digitalnimi elementi obravnavajo učinkovito in v skladu z bistvenimi zahtevami glede kibernetske varnosti iz dela II Priloge I;

„dajanje na trg“ pomeni prvo omogočanje dostopnosti izdelka z digitalnimi elementi na trgu Unije;

„omogočanje dostopnosti na trgu“ pomeni dobavo izdelka z digitalnimi elementi za distribucijo ali uporabo na trgu Unije v okviru gospodarske dejavnosti, za plačilo ali brezplačno;

„predvideni namen“ pomeni uporabo, za katero je proizvajalec namenil izdelek z digitalnimi elementi, vključno s posebnimi okoliščinami in pogoji uporabe, kot je navedeno v informacijah, ki jih je proizvajalec predložil v navodilih za uporabo, promocijskem ali prodajnem gradivu in izjavah ter v tehnični dokumentaciji;

„razumno predvidljiva uporaba“ pomeni uporabo, ki ni nujno predvideni namen, ki ga je proizvajalec navedel v navodilih za uporabo, promocijskem ali prodajnem gradivu in izjavah ter v tehnični dokumentaciji, vendar je verjetna posledica razumno predvidljivega človeškega vedenja ali tehničnih operacij ali interakcij;

„razumno predvidljiva napačna uporaba“ pomeni uporabo izdelka z digitalnimi elementi na način, ki ni v skladu s predvidenim namenom, vendar je lahko posledica razumno predvidljivega človeškega vedenja ali interakcije z drugimi sistemi;

„priglasitveni organ“ pomeni nacionalni organ, odgovoren za vzpostavitev in izvajanje potrebnih postopkov za ocenjevanje, imenovanje in priglasitev organov za ugotavljanje skladnosti ter za njihovo spremljanje;

„ugotavljanje skladnosti“ pomeni postopek preverjanja, ali so bistvene zahteve glede kibernetske varnosti iz Priloge I izpolnjene;

„organ za ugotavljanje skladnosti“ pomeni organ za ugotavljanje skladnosti, kakor je opredeljen v členu 2, točka 13, Uredbe (ES) št. 765/2008;

„priglašeni organ“ pomeni organ za ugotavljanje skladnosti, imenovan v skladu s členom 43 in drugo ustrezno harmonizacijsko zakonodajo Unije;

„bistvena sprememba“ pomeni spremembo izdelka z digitalnimi elementi po tem, ko je bil dan na trg, ki vpliva na skladnost tega izdelka z bistvenimi zahtevami glede kibernetske varnosti iz dela I Priloge I ali povzroči spremembo predvidenega namena, za katerega je bil izdelek z digitalnimi elementi ocenjen;

„oznaka CE“ pomeni oznako, s katero proizvajalec izjavlja, da so izdelek z digitalnimi elementi in postopki, ki jih je vzpostavil proizvajalec, skladni z bistvenimi zahtevami glede kibernetske varnosti iz Priloge I in drugo harmonizacijsko zakonodajo Unije, ki se uporablja in določa namestitev oznake;

„harmonizacijska zakonodaja Unije“ pomeni zakonodajo Unije iz Priloge I k Uredbi (EU) 2019/1020 in katero koli drugo zakonodajo Unije, ki harmonizira pogoje za trženje izdelkov, za katere se uporablja navedena uredba;

„organ za nadzor trga“ pomeni organ za nadzor trga, kakor je opredeljen v členu 3, točka 4, Uredbe (EU) 2019/1020;

„mednarodni standard“ pomeni mednarodni standard, kakor je opredeljen v členu 2, točka 1(a), Uredbe (EU) št. 1025/2012;

„evropski standard“ pomeni evropski standard, kakor je opredeljen v členu 2, točka 1(b), Uredbe (EU) št. 1025/2012;

„harmonizirani standard“ pomeni harmonizirani standard, kakor je opredeljen v členu 2, točka 1(c), Uredbe (EU) št. 1025/2012;

„tveganje za kibernetsko varnost“ pomeni možnost izgube ali motnje zaradi incidenta ter se izrazi kot kombinacija razsežnosti take izgube ali motnje in verjetnosti, da bi do incidenta prišlo;

„povečano tveganje za kibernetsko varnost“ pomeni tveganje za kibernetsko varnost, za katero se lahko na podlagi njegovih tehničnih značilnosti domneva, da vključuje veliko verjetnost incidenta, ki bi lahko imel resen negativen vpliv, vključno s povzročitvijo precejšnje materialne ali nematerialne izgube ali motnje;

„kosovnica za programsko opremo“ pomeni uraden zapis, ki vsebuje podrobnosti o sestavnih delih elementov programske opreme izdelka z digitalnimi elementi in njihove odnose v dobavni verigi;

„ranljivost“ pomeni pomanjkljivost, dovzetnost ali napako izdelka z digitalnimi elementi, ki jo kibernetska grožnja lahko izkoristi;

„izrabljiva ranljivost“ pomeni ranljivost, ki jo lahko nasprotnik učinkovito uporabi v praktičnih pogojih delovanja;

„aktivno izrabljena ranljivost“ pomeni ranljivost, za katero obstajajo zanesljivi dokazi, da jo je zlonamerni akter izrabil v sistemu brez dovoljenja lastnika sistema;

„incident“ pomeni incident, kakor je opredeljen v členu 6, točka 6, Direktive (EU) 2022/2555;

„incident, ki vpliva na varnost izdelka z digitalnimi elementi“ pomeni incident, ki negativno vpliva ali bi lahko negativno vplival na zmožnost izdelka z digitalnimi elementi, da zaščiti razpoložljivost, avtentičnost, celovitost ali zaupnost podatkov ali funkcij;

„skorajšnji incident“ pomeni skorajšnji incident, kakor je opredeljen v členu 6, točka 5, Direktive (EU) 2022/2555;

„kibernetska grožnja“ pomeni kibernetsko grožnjo, kakor je opredeljena v členu 2, točka 8, Uredbe (EU) 2019/881;

„osebni podatki“ pomeni osebne podatke, kakor so opredeljeni členu 4, točka 1, Uredbe (EU) 2016/679;

„prosta in odprtokodna programska oprema“ pomeni programsko opremo, katere izvorna koda se odprto deli in ki je na voljo na podlagi proste in odprtokodne licence, ki zagotavlja vse pravice, da postane prosto dostopna, uporabna, jo je mogoče spremeniti in prerazporediti;

„odpoklic“ pomeni odpoklic, kakor je opredeljen v členu 3, točka 22, Uredbe (EU) 2019/1020;

„umik“ pomeni umik, kakor je opredeljen v členu 3, točka 23, Uredbe (EU) 2019/1020;

„skupina CSIRT, ki je imenovana za koordinatorja“ pomeni skupino CSIRT, ki je imenovana za koordinatorja na podlagi člena 12(1) Direktive (EU) 2022/2555.

izpolnjujejo bistvene zahteve glede kibernetske varnosti iz dela I Priloge I, če se ustrezno namestijo, vzdržujejo, uporabljajo za predvideni namen ali pod razumno predvidljivimi pogoji in če so, kadar je ustrezno, nameščene potrebne varnostne posodobitve, ter

so postopki, ki jih je vzpostavil proizvajalec, skladni z bistvenimi zahtevami glede kibernetske varnosti iz dela II Priloge I.

razvijati veščine na področju kibernetske varnosti ter oblikovati organizacijska in tehnološka orodja za zagotovitev zadostne razpoložljivosti usposobljenih strokovnjakov za podporo dejavnostim organov za nadzor trga in organov za ugotavljanje skladnosti;

okrepiti sodelovanje med zasebnim sektorjem in gospodarskimi subjekti, tudi s preusposabljanjem ali izpopolnjevanjem delavcev proizvajalcev, potrošnikov, ustanov za usposabljanje ter javnih uprav, da bi s tem mladim zagotovili dostop do delovnih mest v sektorju kibernetske varnosti.