+REGULAMENTUL (UE) 2024/2847 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE) 2019/1020, precum și a Directivei (UE) 2020/1828 (Regulamentul privind reziliența cibernetică) (Text cu relevanță pentru SEE)
---+CAPITOLUL I DISPOZIȚII GENERALE
------+Articolul 1 Obiect
------+Articolul 2 Domeniul de aplicare
---------+Article 2 1.
---------+Article 2 2.
---------+Article 2 3.
---------+Article 2 4.
---------+Article 2 5.
---------+Article 2 6.
---------+Article 2 7.
---------+Article 2 8.
------+Articolul 3 Definiții
------+Articolul 4 Libera circulație
---------+Article 4 1.
---------+Article 4 2.
---------+Article 4 3.
---------+Article 4 4.
------+Articolul 5 Achizițiile sau utilizarea de produse cu elemente digitale
---------+Article 5 1.
---------+Article 5 2.
------+Articolul 6 Cerințe pentru produsele cu elemente digitale
------+Articolul 7 Produsele importante cu elemente digitale
---------+Article 7 1.
---------+Article 7 2.
---------+Article 7 3.
---------+Article 7 4.
------+Articolul 8 Produsele critice cu elemente digitale
---------+Article 8 1.
---------+Article 8 2.
------+Articolul 9 Consultarea părților interesate
---------+Article 9 1.
---------+Article 9 2.
------+Articolul 10 Consolidarea competențelor într-un mediu digital rezilient din punct de vedere cibernetic
------+Articolul 11 Siguranța generală a produselor
------+Articolul 12 Sistemele de IA cu grad ridicat de risc
---------+Article 12 1.
---------+Article 12 2.
---------+Article 12 3.
---------+Article 12 4.
---+CAPITOLUL II OBLIGAȚIILE OPERATORILOR ECONOMICI ȘI DISPOZIȚII PRIVIND SOFTWARE-UL LIBER ȘI CU SURSĂ DESCHISĂ
------+Articolul 13 Obligațiile producătorilor
---------+Article 13 1.
---------+Article 13 2.
---------+Article 13 3.
---------+Article 13 4.
---------+Article 13 5.
---------+Article 13 6.
---------+Article 13 7.
---------+Article 13 8.
---------+Article 13 9.
---------+Article 13 10.
---------+Article 13 11.
---------+Article 13 12.
---------+Article 13 13.
---------+Article 13 14.
---------+Article 13 15.
---------+Article 13 16.
---------+Article 13 17.
---------+Article 13 18.
---------+Article 13 19.
---------+Article 13 20.
---------+Article 13 21.
---------+Article 13 22.
---------+Article 13 23.
---------+Article 13 24.
---------+Article 13 25.
------+Articolul 14 Obligațiile de raportare ale producătorilor
---------+Article 14 1.
---------+Article 14 2.
---------+Article 14 3.
---------+Article 14 4.
---------+Article 14 5.
---------+Article 14 6.
---------+Article 14 7.
---------+Article 14 8.
---------+Article 14 9.
---------+Article 14 10.
------+Articolul 15 Raportarea voluntară
---------+Article 15 1.
---------+Article 15 2.
---------+Article 15 3.
---------+Article 15 4.
---------+Article 15 5.
------+Articolul 16 Instituirea unei platforme unice de raportare
---------+Article 16 1.
---------+Article 16 2.
---------+Article 16 3.
---------+Article 16 4.
---------+Article 16 5.
---------+Article 16 6.
------+Articolul 17 Alte dispoziții referitoare la raportare
---------+Article 17 1.
---------+Article 17 2.
---------+Article 17 3.
---------+Article 17 4.
---------+Article 17 5.
---------+Article 17 6.
------+Articolul 18 Reprezentanți autorizați
---------+Article 18 1.
---------+Article 18 2.
---------+Article 18 3.
------+Articolul 19 Obligațiile importatorilor
---------+Article 19 1.
---------+Article 19 2.
---------+Article 19 3.
---------+Article 19 4.
---------+Article 19 5.
---------+Article 19 6.
---------+Article 19 7.
---------+Article 19 8.
------+Articolul 20 Obligațiile distribuitorilor
---------+Article 20 1.
---------+Article 20 2.
---------+Article 20 3.
---------+Article 20 4.
---------+Article 20 5.
---------+Article 20 6.
------+Articolul 21 Situațiile în care obligațiile producătorilor se aplică importatorilor și distribuitorilor
------+Articolul 22 Alte cazuri în care se aplică obligațiile producătorilor
---------+Article 22 1.
---------+Article 22 2.
------+Articolul 23 Identificarea operatorilor economici
---------+Article 23 1.
---------+Article 23 2.
------+Articolul 24 Obligațiile administratorilor de software cu sursă deschisă
---------+Article 24 1.
---------+Article 24 2.
---------+Article 24 3.
------+Articolul 25 Atestare de securitate a software-ului liber și cu sursă deschisă
------+Articolul 26 Orientări
---------+Article 26 1.
---------+Article 26 2.
---------+Article 26 3.
---+CAPITOLUL III CONFORMITATEA PRODUSULUI CU ELEMENTELE DIGITALE
------+Articolul 27 Prezumția de conformitate
---------+Article 27 1.
---------+Article 27 2.
---------+Article 27 3.
---------+Article 27 4.
---------+Article 27 5.
---------+Article 27 6.
---------+Article 27 7.
---------+Article 27 8.
---------+Article 27 9.
------+Articolul 28 Declarația de conformitate UE
---------+Article 28 1.
---------+Article 28 2.
---------+Article 28 3.
---------+Article 28 4.
---------+Article 28 5.
------+Articolul 29 Principii generale ale marcajului CE
------+Articolul 30 Norme și condiții pentru aplicarea marcajului CE
---------+Article 30 1.
---------+Article 30 2.
---------+Article 30 3.
---------+Article 30 4.
---------+Article 30 5.
---------+Article 30 6.
------+Articolul 31 Documentația tehnică
---------+Article 31 1.
---------+Article 31 2.
---------+Article 31 3.
---------+Article 31 4.
---------+Article 31 5.
------+Articolul 32 Proceduri de evaluare a conformității pentru produsele cu elemente digitale
---------+Article 32 1.
---------+Article 32 2.
---------+Article 32 3.
---------+Article 32 4.
---------+Article 32 5.
---------+Article 32 6.
------+Articolul 33 Măsuri de asistență pentru microîntreprinderi și întreprinderile mici și mijlocii, inclusiv pentru întreprinderile nou-înființate
---------+Article 33 1.
---------+Article 33 2.
---------+Article 33 3.
---------+Article 33 4.
---------+Article 33 5.
------+Articolul 34 Acorduri de recunoaștere reciprocă
---+CAPITOLUL IV NOTIFICAREA ORGANISMELOR DE EVALUARE A CONFORMITĂȚII
------+Articolul 35 Notificarea
---------+Article 35 1.
---------+Article 35 2.
------+Articolul 36 Autoritățile de notificare
---------+Article 36 1.
---------+Article 36 2.
---------+Article 36 3.
---------+Article 36 4.
------+Articolul 37 Cerințe privind autoritățile de notificare
---------+Article 37 1.
---------+Article 37 2.
---------+Article 37 3.
---------+Article 37 4.
---------+Article 37 5.
---------+Article 37 6.
------+Articolul 38 Obligația de informare a autorităților de notificare
---------+Article 38 1.
---------+Article 38 2.
------+Articolul 39 Cerințe referitoare la organismele notificate
---------+Article 39 1.
---------+Article 39 2.
---------+Article 39 3.
---------+Article 39 4.
---------+Article 39 5.
---------+Article 39 6.
---------+Article 39 7.
---------+Article 39 8.
---------+Article 39 9.
---------+Article 39 10.
---------+Article 39 11.
---------+Article 39 12.
------+Articolul 40 Prezumția de conformitate a organismelor notificate
------+Articolul 41 Filialele organismelor notificate și subcontractarea de către organismele notificate
---------+Article 41 1.
---------+Article 41 2.
---------+Article 41 3.
---------+Article 41 4.
------+Articolul 42 Cererea de notificare
---------+Article 42 1.
---------+Article 42 2.
---------+Article 42 3.
------+Articolul 43 Procedura de notificare
---------+Article 43 1.
---------+Article 43 2.
---------+Article 43 3.
---------+Article 43 4.
---------+Article 43 5.
---------+Article 43 6.
------+Articolul 44 Numerele de identificare și lista organismelor notificate
---------+Article 44 1.
---------+Article 44 2.
------+Articolul 45 Modificări ale notificărilor
---------+Article 45 1.
---------+Article 45 2.
------+Articolul 46 Contestarea competenței organismelor notificate
---------+Article 46 1.
---------+Article 46 2.
---------+Article 46 3.
---------+Article 46 4.
------+Articolul 47 Obligațiile operaționale ale organismelor notificate
---------+Article 47 1.
---------+Article 47 2.
---------+Article 47 3.
---------+Article 47 4.
---------+Article 47 5.
---------+Article 47 6.
------+Articolul 48 Căi de atac împotriva deciziilor organismelor notificate
------+Articolul 49 Obligația de informare care revine organismelor notificate
---------+Article 49 1.
---------+Article 49 2.
------+Articolul 50 Schimbul de experiență
------+Articolul 51 Coordonarea organismelor notificate
---------+Article 51 1.
---------+Article 51 2.
---+CAPITOLUL V SUPRAVEGHEREA PIEȚEI ȘI ASIGURAREA RESPECTĂRII LEGISLAȚIEI
------+Articolul 52 Supravegherea pieței și controlul produselor cu elemente digitale pe piața Uniunii
---------+Article 52 1.
---------+Article 52 2.
---------+Article 52 3.
---------+Article 52 4.
---------+Article 52 5.
---------+Article 52 6.
---------+Article 52 7.
---------+Article 52 8.
---------+Article 52 9.
---------+Article 52 10.
---------+Article 52 11.
---------+Article 52 12.
---------+Article 52 13.
---------+Article 52 14.
---------+Article 52 15.
---------+Article 52 16.
------+Articolul 53 Accesul la date și la documentație
------+Articolul 54 Procedura la nivel național privind produsele cu elemente digitale care prezintă un risc semnificativ în materie de securitate cibernetică
---------+Article 54 1.
---------+Article 54 2.
---------+Article 54 3.
---------+Article 54 4.
---------+Article 54 5.
---------+Article 54 6.
---------+Article 54 7.
---------+Article 54 8.
---------+Article 54 9.
------+Articolul 55 Procedura de salvgardare a Uniunii
---------+Article 55 1.
---------+Article 55 2.
---------+Article 55 3.
---------+Article 55 4.
---------+Article 55 5.
------+Articolul 56 Procedura la nivelul Uniunii privind produsele cu elemente digitale care prezintă un risc semnificativ în materie de securitate cibernetică
---------+Article 56 1.
---------+Article 56 2.
---------+Article 56 3.
---------+Article 56 4.
---------+Article 56 5.
---------+Article 56 6.
---------+Article 56 7.
------+Articolul 57 Produse cu elemente digitale care sunt conforme, dar care prezintă un risc semnificativ în materie de securitate cibernetică
---------+Article 57 1.
---------+Article 57 2.
---------+Article 57 3.
---------+Article 57 4.
---------+Article 57 5.
---------+Article 57 6.
---------+Article 57 7.
---------+Article 57 8.
---------+Article 57 9.
---------+Article 57 10.
---------+Article 57 11.
------+Articolul 58 Neconformitatea formală
---------+Article 58 1.
---------+Article 58 2.
------+Articolul 59 Activități comune ale autorităților de supraveghere a pieței
---------+Article 59 1.
---------+Article 59 2.
---------+Article 59 3.
---------+Article 59 4.
---------+Article 59 5.
------+Articolul 60 Acțiuni de verificare
---------+Article 60 1.
---------+Article 60 2.
---------+Article 60 3.
---------+Article 60 4.
---------+Article 60 5.
---+CAPITOLUL VI COMPETENȚELE DELEGATE ȘI PROCEDURA COMITETULUI
------+Articolul 61 Exercitarea delegării de competențe
---------+Article 61 1.
---------+Article 61 2.
---------+Article 61 3.
---------+Article 61 4.
---------+Article 61 5.
---------+Article 61 6.
------+Articolul 62 Procedura comitetului
---------+Article 62 1.
---------+Article 62 2.
---------+Article 62 3.
---+CAPITOLUL VII CONFIDENȚIALITATE ȘI SANCȚIUNI
------+Articolul 63 Confidențialitate
---------+Article 63 1.
---------+Article 63 2.
---------+Article 63 3.
---------+Article 63 4.
------+Articolul 64 Sancțiuni
---------+Article 64 1.
---------+Article 64 2.
---------+Article 64 3.
---------+Article 64 4.
---------+Article 64 5.
---------+Article 64 6.
---------+Article 64 7.
---------+Article 64 8.
---------+Article 64 9.
---------+Article 64 10.
------+Articolul 65 Acțiuni în reprezentare
---+CAPITOLUL VIII DISPOZIȚII TRANZITORII ȘI FINALE
------+Articolul 66 Modificarea Regulamentului (UE) 2019/1020
------+Articolul 67 Modificarea Directivei (UE) 2020/1828
------+Articolul 68 Modificarea Regulamentului (UE) nr. 168/2013
------+Articolul 69 Dispoziții tranzitorii
---------+Article 69 1.
---------+Article 69 2.
---------+Article 69 3.
------+Articolul 70 Evaluare și reexaminare
---------+Article 70 1.
---------+Article 70 2.
------+Articolul 71 Intrarea în vigoare și aplicarea
---------+Article 71 1.
---------+Article 71 2.
---+ANEXA I CERINȚE ESENȚIALE DE SECURITATE CIBERNETICĂ
---+ANEXA II INFORMAȚII ȘI INSTRUCȚIUNI PENTRU UTILIZATOR
---+ANEXA III PRODUSELE IMPORTANTE CU ELEMENTE DIGITALE
---+ANEXA IV PRODUSELE CRITICE CU ELEMENTE DIGITALE
---+ANEXA V DECLARAȚIA DE CONFORMITATE UE
---+ANEXA VI DECLARAȚIA UE DE CONFORMITATE SIMPLIFICATĂ
---+ANEXA VII CONȚINUTUL DOCUMENTAȚIEI TEHNICE
---+ANEXA VIII PROCEDURI DE EVALUARE A CONFORMITĂȚII
|
English -
European Union -
REGULAMENTUL (UE) 2024/2847 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI din 23 octombrie 2024 privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE) 2019/1020, precum și a Directivei (UE) 2020/1828 (Regulamentul privind reziliența cibernetică) (Text cu relevanță pentru SEE)
REGULAMENTUL (UE) 2024/2847 AL PARLAMENTULUI EUROPEAN ȘI AL CONSILIULUI
din 23 octombrie 2024
privind cerințele orizontale în materie de securitate cibernetică pentru produsele cu elemente digitale și de modificare a Regulamentelor (UE) nr. 168/2013 și (UE) 2019/1020, precum și a Directivei (UE) 2020/1828 (Regulamentul privind reziliența cibernetică)
(Text cu relevanță pentru SEE)
Prezentul regulament este obligatoriu în toate elementele sale și se aplică direct în toate statele membre.
1. Prezentare generală
| Titlu |
Reglementare |
|
CAPITOLUL I DISPOZIȚII GENERALE
|
CAPITOLUL I DISPOZIȚII GENERALE
|
|
CAPITOLUL II OBLIGAȚIILE OPERATORILOR ECONOMICI ȘI DISPOZIȚII PRIVIND SOFTWARE-UL LIBER ȘI CU SURSĂ DESCHISĂ
|
CAPITOLUL II OBLIGAȚIILE OPERATORILOR ECONOMICI ȘI DISPOZIȚII PRIVIND SOFTWARE-UL LIBER ȘI CU SURSĂ DESCHISĂ
|
|
CAPITOLUL III CONFORMITATEA PRODUSULUI CU ELEMENTELE DIGITALE
|
CAPITOLUL III CONFORMITATEA PRODUSULUI CU ELEMENTELE DIGITALE
|
|
CAPITOLUL IV NOTIFICAREA ORGANISMELOR DE EVALUARE A CONFORMITĂȚII
|
CAPITOLUL IV NOTIFICAREA ORGANISMELOR DE EVALUARE A CONFORMITĂȚII
|
|
CAPITOLUL V SUPRAVEGHEREA PIEȚEI ȘI ASIGURAREA RESPECTĂRII LEGISLAȚIEI
|
CAPITOLUL V SUPRAVEGHEREA PIEȚEI ȘI ASIGURAREA RESPECTĂRII LEGISLAȚIEI
|
|
CAPITOLUL VI COMPETENȚELE DELEGATE ȘI PROCEDURA COMITETULUI
|
CAPITOLUL VI COMPETENȚELE DELEGATE ȘI PROCEDURA COMITETULUI
|
|
CAPITOLUL VII CONFIDENȚIALITATE ȘI SANCȚIUNI
|
CAPITOLUL VII CONFIDENȚIALITATE ȘI SANCȚIUNI
|
|
CAPITOLUL VIII DISPOZIȚII TRANZITORII ȘI FINALE
|
CAPITOLUL VIII DISPOZIȚII TRANZITORII ȘI FINALE
|
|
ANEXA I CERINȚE ESENȚIALE DE SECURITATE CIBERNETICĂ
|
ANEXA I
CERINȚE ESENȚIALE DE SECURITATE CIBERNETICĂ
Partea I Cerințe de securitate cibernetică referitoare la proprietățile produselor cu elemente digitale
1. Produsele cu elemente digitale sunt proiectate, dezvoltate și fabricate astfel încât să asigure un nivel adecvat de securitate cibernetică bazat pe riscuri.
2. Pe baza evaluării riscurilor în materie de securitate cibernetică menționate la articolul 13 alineatul (2) și după caz, produsele cu elemente digitale trebuie:
(a)
să fie puse la dispoziție pe piață fără vulnerabilități exploatabile cunoscute;
(b)
să fie puse la dispoziție pe piață cu o configurație securizată implicită, cu excepția cazului în care se convine altfel între producător și furnizorul prin servicii de intermediere online în legătură cu un produs personalizat cu elemente digitale, inclusiv cu posibilitatea de a reseta produsul la starea sa inițială;
(c)
să se asigure că vulnerabilitățile pot fi abordate prin actualizări de securitate, inclusiv, după caz, prin actualizări automate de securitate care sunt instalate într-un interval de timp adecvat, activate ca setare implicită, cu un mecanism de neparticipare clar și ușor de utilizat, prin notificarea utilizatorilor cu privire la actualizările disponibile și prin opțiunea de a le amâna temporar;
(d)
să asigure protecția împotriva accesului neautorizat prin mecanisme de control adecvate, inclusiv, dar fără a se limita la sistemele de autentificare, de gestionare a identității sau a accesului, și să raporteze privind posibilul acces neautorizat;
(e)
să protejeze confidențialitatea datelor stocate, transmise sau prelucrate în alt mod, cu caracter personal sau de altă natură, de exemplu prin criptarea datelor relevante în repaus sau în tranzit prin mecanisme de ultimă generație și prin utilizarea altor mijloace tehnice;
(f)
să protejeze integritatea datelor stocate, transmise sau prelucrate în alt mod, cu caracter personal sau de altă natură, a comenzilor, a programelor și a configurației împotriva oricărei manipulări sau modificări neautorizate de către utilizator, și să raporteze cu privire la fișierele corupte;
(g)
să prelucreze numai date, cu caracter personal sau de altă natură, care sunt adecvate, relevante și limitate la ceea ce este necesar în legătură cu scopul preconizat al produsului cu elemente digitale (reducerea la minimum a datelor);
(h)
să protejeze disponibilitatea funcțiilor esențiale și de bază, iar după un incident, inclusiv prin reziliență și măsuri de atenuare împotriva atacurilor vizând blocarea accesului la servicii;
(i)
să reducă la minimum impactul negativ al produselor în sine sau al dispozitivelor conectate asupra disponibilității serviciilor furnizate de alte dispozitive sau rețele;
(j)
să fie proiectate, dezvoltate și fabricate de așa manieră încât să se limiteze suprafețele de atac, inclusiv interfețele externe;
(k)
să fie proiectate, dezvoltate și fabricate de așa manieră încât să se reducă impactul unui incident prin utilizarea de mecanisme și tehnici adecvate de prevenire a exploatării vulnerabilităților;
(l)
să furnizeze informații legate de securitate prin înregistrarea și monitorizarea activității interne relevante, inclusiv accesul la date, servicii sau funcții sau modificarea acestora, cu un mecanism de neparticipare pentru utilizator;
(m)
să ofere utilizatorilor posibilitatea de a elimina în mod securizat și cu ușurință, în mod permanent, toate datele și setările și, în cazul în care astfel de date pot fi transferate către alte produse sau sisteme, și să se asigure că acest lucru se realizează în mod securizat.
Partea II Cerințe privind gestionarea vulnerabilităților
Producătorii de produse cu elemente digitale trebuie:
1.
să identifice și să documenteze vulnerabilitățile și componentele produselor cu elemente digitale, inclusiv prin întocmirea unei liste a materialelor software într-un format folosit în mod curent și care poate fi citit automat, care să acopere cel puțin dependențele de nivel superior ale produsului;
2.
în ceea ce privește riscurile pe care le prezintă produsele cu elemente digitale, să abordeze și să remedieze fără întârziere vulnerabilitățile, inclusiv prin furnizarea de actualizări de securitate; în cazul în care acest lucru este fezabil din punct de vedere tehnic, noile actualizări de securitate sunt furnizate separat de actualizările de funcționalitate;
3.
să aplice teste și reexaminări eficace și periodice ale securității produsului cu elemente digitale;
4.
după punerea la dispoziție a unei actualizări de securitate, să partajeze și să publice informații cu privire la vulnerabilitățile remediate, inclusiv o descriere a vulnerabilităților, informații care să permită utilizatorilor să identifice produsul cu elemente digitale afectat, impactul vulnerabilităților, gravitatea acestora și informații clare și accesibile care să ajute utilizatorii să remedieze vulnerabilitățile; în cazuri justificate în mod corespunzător, atunci când producătorii consideră că riscurile de securitate ale publicării depășesc beneficiile în materie de securitate, aceștia pot amâna publicarea informațiilor cu privire la o vulnerabilitate fixă până după ce utilizatorilor li s-a oferit posibilitatea de a aplica corecția relevantă;
5.
să instituie și să pună în aplicare o politică privind divulgarea coordonată a vulnerabilităților;
6.
să ia măsuri pentru a facilita schimbul de informații cu privire la potențialele vulnerabilități ale produsului lor cu elemente digitale, precum și cu privire la componentele terților conținute în produsul respectiv, inclusiv prin furnizarea unei adrese de contact pentru raportarea vulnerabilităților descoperite în produsul cu elemente digitale;
7.
să prevadă mecanisme de distribuire securizată a actualizărilor pentru produsele cu elemente digitale, pentru a se asigura că vulnerabilitățile sunt remediate sau atenuate în timp util și, dacă este cazul pentru actualizările de securitate, în mod automat;
8.
să se asigure că, în cazul în care sunt disponibile actualizări de securitate pentru abordarea problemelor de securitate identificate, acestea sunt difuzate fără întârziere și, cu excepția cazului în care producătorul și furnizorul prin servicii de intermediere online au convenit altfel în legătură cu un produs personalizat cu elemente digitale, gratuit, însoțite de mesaje de consiliere care să ofere utilizatorilor informațiile relevante, inclusiv cu privire la eventualele acțiuni care trebuie întreprinse.
|
|
ANEXA II INFORMAȚII ȘI INSTRUCȚIUNI PENTRU UTILIZATOR
|
ANEXA II
INFORMAȚII ȘI INSTRUCȚIUNI PENTRU UTILIZATOR
Produsul cu elemente digitale trebuie să fie însoțit cel puțin de:
1.
numele, denumirea comercială înregistrată sau marca înregistrată a producătorului, precum și adresa poștală, adresa de e-mail sau alt contact digital, precum și, dacă este cazul, site-ul web la care poate fi contactat producătorul;
2.
ghișeul unic unde pot fi raportate și primite informații cu privire la vulnerabilitățile produsului cu elemente digitale, precum și locul în care poate fi găsită politica producătorului privind divulgarea coordonată a vulnerabilităților;
3.
denumirea și tipul și orice informații suplimentare care permit identificarea unică a produsului cu elemente digitale;
4.
scopul preconizat al produsului cu elemente digitale, inclusiv mediul de securitate furnizat de producător, precum și funcționalitățile esențiale ale produsului și informații cu privire la proprietățile de securitate;
5.
orice circumstanță cunoscută sau previzibilă legată de utilizarea produsului cu elemente digitale în conformitate cu scopul preconizat sau în condiții de utilizare necorespunzătoare previzibile în mod rezonabil care poate conduce la riscuri semnificative de securitate cibernetică;
6.
dacă este cazul, adresa de internet la care poate fi accesată declarația de conformitate UE;
7.
tipul de asistență tehnică de securitate oferită de producător și data de încheiere a perioadei de asistență în care utilizatorii se pot aștepta să fie gestionate vulnerabilitățile și să primească actualizări de securitate;
8.
instrucțiuni detaliate sau o adresă de internet la care să se găsească astfel de instrucțiuni detaliate și informații privind:
(a)
măsurile necesare în timpul punerii în funcțiune inițiale și pe toată durata de viață a produsului cu elemente digitale pentru a se asigura o utilizare securizată a acestuia;
(b)
modul în care modificările aduse produsului cu elemente digitale pot afecta securitatea datelor;
(c)
modul în care pot fi instalate actualizările relevante pentru securitate;
(d)
dezafectarea securizată a produsului cu elemente digitale, inclusiv informații privind modul în care datele utilizatorilor pot fi eliminate în mod securizat;
(e)
modul în care poate fi dezactivată setarea implicită care permite instalarea automată a actualizărilor de securitate, astfel cum se prevede în partea I punctul 2 litera (c) din anexa I;
(f)
în cazul în care produsul cu elemente digitale este destinat integrării în alte produse cu elemente digitale, informațiile necesare integratorului pentru a se conforma cerințelor esențiale de securitate cibernetică prevăzute în anexa I și cerințelor privind documentația prevăzute în anexa VII.
9.
În cazul în care producătorul decide să pună la dispoziția utilizatorului lista materialelor software, informații cu privire la locul în care poate fi accesată lista materialelor software.
|
|
ANEXA III PRODUSELE IMPORTANTE CU ELEMENTE DIGITALE
|
ANEXA III
PRODUSELE IMPORTANTE CU ELEMENTE DIGITALE
Clasa I
1. Software și hardware pentru sisteme de gestionare a identității și de gestionare a accesului privilegiat, inclusiv cititoare de autentificare și de control al accesului, inclusiv cititoare biometrice
2. Browsere autonome și încorporate
4. Software care caută, elimină sau plasează în carantină programe informatice malware
5. Produse cu elemente digitale cu funcție de rețea privată virtuală (VPN)
6. Sisteme de administrare a rețelei
7. Sisteme de gestionare a informațiilor de securitate și a evenimentelor de securitate (SIEM)
9. Infrastructuri publice esențiale și software pentru emiterea de certificate digitale
10. Interfețe fizice și virtuale de rețea
12. Routere, modemuri destinate conectării la internet și comutatoare
13. Microprocesoare cu funcționalități legate de securitate
14. Microcontrolere cu funcționalități legate de securitate
15. Circuite integrate specifice aplicațiilor (ASIC) și rețele de porți programabile de utilizator (FPGA) cu funcționalități legate de securitate
16. Asistenți virtuali de uz general pentru locuințe inteligente
17. Produse pentru locuințe inteligente cu funcționalități legate de securitate, inclusiv încuietori inteligente ale ușilor, camere de securitate, sisteme de monitorizare a bebelușilor și sisteme de alarmă
18. Jucării conectate la internet care intră sub incidența Directivei 2009/48/CE a Parlamentului European și a Consiliului (
4
), care au caracteristici sociale interactive (de exemplu, vorbire sau filmare) sau care au funcții de localizare
19. Produse portabile personale care urmează să fie purtate sau plasate pe un corp uman care au un scop de monitorizare a stării de sănătate (cum ar fi urmărirea) și cărora nu li se aplică Regulamentul (UE) 2017/745 sau (UE) 2017/746, sau produse portabile personale care sunt destinate utilizării de către și pentru copii
Clasa II
1. Hipervizoare și sisteme de runtime a containerelor care sprijină executarea virtualizată a sistemelor de operare și a mediilor similare
2. Firewall-uri, sisteme de detectare și prevenire a intruziunilor
3. Microprocesoare rezistente la manipulare frauduloasă
4. Microcontrolere rezistente la manipulare frauduloasă
|
|
ANEXA IV PRODUSELE CRITICE CU ELEMENTE DIGITALE
|
ANEXA IV
PRODUSELE CRITICE CU ELEMENTE DIGITALE
1. Dispozitive hardware cu casete de securitate
2. Gateway-urile contoarelor inteligente din cadrul sistemelor de contorizare inteligentă în sensul definiției de la articolul 2 punctul 23 din Directiva (UE) 2019/944 a Parlamentului European și a Consiliului (
5
), și alte dispozitive utilizate în scopuri avansate de securitate, inclusiv pentru prelucrarea criptografică securizată
3. Carduri inteligente sau dispozitive similare, inclusiv elemente de securitate
|
|
ANEXA V DECLARAȚIA DE CONFORMITATE UE
|
ANEXA V
DECLARAȚIA DE CONFORMITATE UE
Declarația de conformitate UE menționată la articolul 28 trebuie să conțină toate informațiile următoare:
1.
Denumirea și tipul și orice informații suplimentare care permit identificarea unică a produsului cu elemente digitale
2.
Denumirea și adresa producătorului sau a reprezentantului său autorizat
3.
O declarație potrivit căreia declarația de conformitate UE este emisă pe răspunderea exclusivă a furnizorului
4.
Obiectul declarației (identificarea produsului cu elemente digitale care să permită trasabilitatea, care poate include și o fotografie, după caz)
5.
O declarație potrivit căreia obiectul declarației descris mai sus este conform cu legislația relevantă de armonizare a Uniunii
6.
Menționarea tuturor standardelor armonizate relevante utilizate sau a oricărei alte specificații comune sau certificări de securitate cibernetică în legătură cu care se declară conformitatea
7.
După caz, denumirea și numărul organismului notificat, o descriere a procedurii de evaluare a conformității efectuate și identificarea certificatului emis
8.
Informații suplimentare:
Semnat pentru și în numele:
(locul și data emiterii):
(numele, funcția) (semnătura):
|
|
ANEXA VI DECLARAȚIA UE DE CONFORMITATE SIMPLIFICATĂ
|
ANEXA VI
DECLARAȚIA UE DE CONFORMITATE SIMPLIFICATĂ
Declarația UE de conformitate simplificată prevăzută la articolul 13 alineatul (20) se întocmește după cum urmează:
Prin prezenta, … [denumirea producătorului] declară că produsul cu elemente digitale tip … [denumirea tipului de produs cu element digital] este în conformitate cu Regulamentul (UE) 2024/2847 al Parlamentului European și al Consiliului (
6
). Textul integral al declarației de conformitate UE este disponibil la următoarea adresă internet: …
|
|
ANEXA VII CONȚINUTUL DOCUMENTAȚIEI TEHNICE
|
ANEXA VII
CONȚINUTUL DOCUMENTAȚIEI TEHNICE
Documentația tehnică menționată la articolul 31 trebuie să conțină cel puțin următoarele informații, aplicabile produsului cu elemente digitale relevant:
1.
o descriere generală a produsului cu elemente digitale, inclusiv:
(a)
scopul preconizat al acestuia;
(b)
versiunile de software care afectează conformitatea cu cerințele esențiale de securitate cibernetică;
(c)
în cazul în care produsul cu elemente digitale este un produs hardware, fotografii sau ilustrații care să prezinte caracteristicile externe, marcajul și dispunerea internă;
(d)
informațiile și instrucțiunile pentru utilizatori prevăzute în anexa II;
2.
o descriere a proiectării, dezvoltării și producției produsului cu elemente digitale și a proceselor de gestionare a vulnerabilităților, inclusiv:
(a)
informații necesare privind proiectarea și dezvoltarea produsului cu elemente digitale, inclusiv, dacă este cazul, desene și scheme și o descriere a arhitecturii sistemului, care să explice modul în care componentele software se bazează unele pe altele sau se alimentează reciproc și se integrează în prelucrarea generală;
(b)
informații și specificații necesare privind procesele de gestionare a vulnerabilităților instituite de producător, inclusiv lista materialelor software, politica coordonată de divulgare a vulnerabilităților, dovezi ale furnizării unei adrese de contact pentru raportarea vulnerabilităților și o descriere a soluțiilor tehnice alese pentru distribuirea securizată a actualizărilor;
(c)
informații și specificații necesare privind procesele de producție și de monitorizare a produsului cu elemente digitale și validarea proceselor respective;
3.
o evaluare a riscurilor de securitate cibernetică împotriva cărora este proiectat, dezvoltat, fabricat, livrat și întreținut produsul cu elemente digitale, în temeiul articolului 13 din prezentul regulament, inclusiv modul în care sunt aplicabile cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I;
4.
informațiile relevante care au fost luate în considerare pentru a stabili perioada de asistență în temeiul articolului 13 alineatul (8) a produsului cu elemente digitale;
5.
o listă cuprinzând standardele armonizate aplicate integral sau parțial, ale căror referințe au fost publicate în Jurnalul Oficial al Uniunii Europene, specificațiile comune prevăzute la articolul 27 din prezentul regulament sau sistemele europene de certificare de securitate cibernetică adoptate în temeiul Regulamentului (UE) 2019/881 în conformitate cu articolul 27 alineatul (8) din prezentul regulament și, în cazul în care aceste standarde armonizate, specificații comune sau sisteme de certificare de securitate cibernetică nu au fost aplicate, descrieri ale soluțiilor adoptate pentru a îndeplini cerințele esențiale de securitate cibernetică prevăzute în anexa I părțile I și II, inclusiv o listă a altor specificații tehnice relevante aplicate. În cazul unor standarde armonizate, specificații comune sau sisteme europene de certificare de securitate cibernetică aplicate parțial, documentația tehnică trebuie să precizeze părțile care au fost aplicate;
6.
rapoarte privind testele efectuate pentru verificarea conformității produsului cu elemente digitale și a proceselor de gestionare a vulnerabilităților cu cerințele esențiale de securitate cibernetică aplicabile, prevăzute în anexa I părțile I și II;
7.
o copie a declarației de conformitate UE;
8.
după caz, lista materialelor software, furnizată în urma unei cereri motivate din partea unei autorități de supraveghere a pieței, cu condiția ca aceasta să fie necesară pentru ca autoritatea respectivă să poată verifica conformitatea cu cerințele esențiale de securitate cibernetică prevăzute în anexa I.
|
|
ANEXA VIII PROCEDURI DE EVALUARE A CONFORMITĂȚII
|
ANEXA VIII
PROCEDURI DE EVALUARE A CONFORMITĂȚII
Partea I Procedura de evaluare a conformității bazată pe control intern (pe baza modulului A)
1. Controlul intern este procedura de evaluare a conformității prin care producătorul îndeplinește obligațiile prevăzute la punctele 2, 3 și 4 din prezenta parte și garantează și declară pe răspunderea sa exclusivă că produsele cu elemente digitale îndeplinesc toate cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II.
2. Producătorul întocmește documentația tehnică descrisă în anexa VII.
3. Proiectarea, dezvoltarea, producția și gestionarea vulnerabilităților produselor cu elemente digitale.
Producătorul ia toate măsurile necesare pentru ca procesele de proiectare, dezvoltare, producție și gestionare a vulnerabilităților, precum și monitorizarea acestora să asigure conformitatea produselor cu elementele digitale care sunt fabricate sau dezvoltate și a proceselor instituite de producător cu cerințele esențiale de securitate cibernetică prevăzute în anexa I părțile I și II.
4. Marcajul de conformitate și declarația de conformitate
4.1. Producătorul aplică marcajul CE pe fiecare produs cu elemente digitale în parte care îndeplinește cerințele aplicabile prevăzute în prezentul regulament.
4.2. Producătorul întocmește o declarație de conformitate UE în scris pentru fiecare produs cu elemente digitale în conformitate cu articolul 28 și o păstrează, împreună cu documentația tehnică, la dispoziția autorităților naționale timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. Declarația de conformitate UE trebuie să identifice tipul de produs pentru care a fost întocmită. O copie a declarației de conformitate UE trebuie să fie pusă la dispoziția autorităților relevante, la cerere.
5. Reprezentanți autorizați
Obligațiile producătorului stabilite la punctul 4 pot fi îndeplinite de către reprezentantul său autorizat, în numele său și pe răspunderea sa, cu condiția ca obligațiile relevante să fie menționate în mandat.
Partea II Examinarea UE de tip (pe baza modulului B)
1. Examinarea UE de tip este acea parte a procedurii de evaluare a conformității prin care un organism notificat examinează proiectarea și dezvoltarea tehnică a unui produs cu elemente digitale și procesele de gestionare a vulnerabilităților instituite de producător și atestă că un produs cu elemente digitale îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II.
2. Examinarea UE de tip se efectuează prin evaluarea caracterului adecvat al proiectării și dezvoltării tehnice a produsului cu elemente digitale prin examinarea documentației tehnice și a documentelor justificative menționate la punctul 3 și prin examinarea unor exemplare ale uneia sau mai multor părți critice ale produsului (combinație de tip de producție și tip de proiectare).
3. Producătorul trebuie să înainteze o cerere de examinare UE de tip către un singur organism notificat, la alegerea sa.
Cererea trebuie să cuprindă:
3.1.
denumirea și adresa producătorului, iar dacă cererea este depusă de reprezentantul autorizat, se precizează și numele și adresa respectivului reprezentant autorizat;
3.2.
o declarație scrisă care să precizeze că nu a fost depusă o cerere identică la un alt organism notificat;
3.3.
documentația tehnică, care trebuie să permită evaluarea conformității produsului cu elemente digitale cu cerințele esențiale de securitate cibernetică aplicabile prevăzute în anexa I partea I și a proceselor de gestionare a vulnerabilităților ale producătorului cu cerințele esențiale aplicabile prevăzute în anexa I partea II și să includă o analiză și o evaluare adecvată a riscurilor. Documentația tehnică trebuie să specifice cerințele aplicabile și să acopere, în măsura în care acest lucru este relevant pentru evaluare, proiectarea, fabricarea și exploatarea produsului cu elemente digitale. Documentația tehnică trebuie să cuprindă, ori de câte ori este necesar, elementele menționate în anexa VII;
3.4.
documentele justificative pentru caracterul adecvat al soluțiilor de proiectare și dezvoltare tehnică și al proceselor de gestionare a vulnerabilităților. Aceste documente justificative trebuie să menționeze orice document care a fost utilizat, în special atunci când standardele relevante armonizate sau specificațiile tehnice relevante nu au fost aplicate în întregime. Documentele justificative includ, în cazul în care este necesar, rezultatele testelor efectuate în numele său ori pe răspunderea sa de laboratorul corespunzător al producătorului sau de un alt laborator de testare.
4. Organismul de certificare notificat:
4.1.
examinează documentația tehnică și documentele justificative pentru a evalua dacă proiectarea și dezvoltarea tehnică a produsului cu elemente digitale sunt adecvate în raport cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și dacă procesele de gestionare a vulnerabilităților instituite de producător sunt adecvate în raport cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II;
4.2.
verifică dacă exemplarele au fost dezvoltate sau produse în conformitate cu documentația tehnică și identifică elementele care au fost proiectate și dezvoltate în conformitate cu dispozițiile aplicabile din standardele armonizate sau specificațiile tehnice relevante, precum și elementele care au fost proiectate și dezvoltate fără a se aplica dispozițiile relevante ale acestor standarde;
4.3.
efectuează examinările și testele corespunzătoare sau dispune efectuarea acestora pentru a verifica, în cazul în care producătorul a ales să aplice soluțiile din standardele armonizate sau specificațiile tehnice relevante pentru cerințele prevăzute în anexa I, dacă acestea au fost aplicate corect;
4.4.
efectuează examinările și testele corespunzătoare sau dispune efectuarea acestora pentru a verifica, în cazul în care nu au fost aplicate soluțiile din standardele armonizate sau specificațiile tehnice relevante pentru cerințele prevăzute în anexa I, dacă soluțiile adoptate de către producător îndeplinesc cerințele esențiale de securitate cibernetică corespunzătoare;
4.5.
stabilește de comun acord cu producătorul locul în care vor fi efectuate examinările și testele.
5. Organismul notificat întocmește un raport de evaluare care evidențiază activitățile întreprinse, conform punctului 4, precum și rezultatele acestora. Fără a aduce atingere obligațiilor sale față de autoritățile de notificare, organismul notificat nu divulgă conținutul acestui raport, în întregime sau parțial, decât cu acordul producătorului.
6. În cazul în care tipul și procesele de gestionare a vulnerabilităților îndeplinesc cerințele esențiale de securitate cibernetică prevăzute în anexa I, organismul notificat eliberează producătorului un certificat de examinare UE de tip. Certificatul trebuie să conțină denumirea și adresa producătorului, concluziile examinării, condițiile (dacă există) pentru valabilitatea certificatului și datele necesare pentru identificarea tipului aprobat și a proceselor de gestionare a vulnerabilităților. Certificatul poate avea una sau mai multe anexe.
Certificatul și anexele acestuia trebuie să conțină toate informațiile relevante care să permită evaluarea conformității cu tipul examinat a produselor cu elemente digitale fabricate sau dezvoltate și a proceselor de gestionare a vulnerabilităților și care permit controlul în utilizare.
În cazul în care tipul și procesele de gestionare a vulnerabilităților nu îndeplinesc cerințele esențiale de securitate cibernetică aplicabile prevăzute în anexa I, organismul notificat refuză emiterea unui certificat de examinare UE de tip și informează solicitantul în consecință, precizând în detaliu motivele refuzului.
7. Organismul notificat se informează în permanență cu privire la orice modificări ale stadiului actual al tehnologiei general recunoscut, care indică posibilitatea ca tipul aprobat și procesele de gestionare a vulnerabilităților să nu mai îndeplinească cerințele esențiale de securitate cibernetică aplicabile prevăzute în anexa I și stabilește dacă aceste modificări necesită investigații suplimentare. În acest caz, organismul notificat informează producătorul în consecință.
Producătorul informează organismul notificat care deține documentația tehnică referitoare la certificatul de examinare UE de tip cu privire la toate modificările tipului aprobat și ale proceselor de gestionare a vulnerabilităților care pot influența conformitatea cu cerințele esențiale de securitate cibernetică prevăzute în anexa I sau cu condițiile de valabilitate ale certificatului respectiv. Aceste modificări necesită o aprobare suplimentară sub forma unui supliment la certificatul inițial de examinare UE de tip.
8. Organismul notificat efectuează audituri periodice pentru a se asigura că procesele de gestionare a vulnerabilităților prevăzute în anexa I partea II sunt implementate în mod adecvat.
9. Fiecare organism notificat își informează autoritățile de notificare în legătură cu certificatele de examinare UE de tip și eventualele suplimente la acestea pe care le-a emis sau retras și, în mod periodic sau la cerere, pune la dispoziția autorităților sale de notificare lista certificatelor și a eventualelor suplimente la acestea care au fost refuzate, suspendate sau restricționate în alt mod.
Fiecare organism notificat informează celelalte organisme notificate în legătură cu certificatele de examinare UE de tip și eventualele suplimente la acestea pe care le-a refuzat, retras, suspendat sau restricționat în alt mod și, la cerere, în legătură cu certificatele și suplimentele la acestea pe care le-a emis.
Comisia, statele membre și celelalte organisme notificate pot obține, la cerere, o copie a certificatelor de examinare UE de tip și a oricăror suplimente la acestea. Pe baza unei cereri, Comisia și statele membre pot obține o copie a documentației tehnice și a rezultatelor examinărilor efectuate de organismul notificat. Organismul notificat păstrează un exemplar al certificatului de examinare UE de tip, al anexelor și suplimentelor acestuia, precum și dosarul tehnic incluzând documentația depusă de producător, până la expirarea valabilității certificatului.
10. Producătorul păstrează la dispoziția autorităților naționale o copie a certificatului de examinare UE de tip, a anexelor și a suplimentelor acestuia, împreună cu documentația tehnică, timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă.
11. Reprezentantul autorizat al producătorului poate depune cererea menționată la punctul 3 și poate îndeplini obligațiile prevăzute la punctele 7 și 10, cu condiția ca obligațiile relevante să fie menționate în mandat.
Partea III Conformitatea cu tipul bazată pe controlul intern al producției (pe baza modulului C)
1. Conformitatea cu tipul bazată pe controlul intern al producției este acea parte a procedurii de evaluare a conformității prin care producătorul îndeplinește obligațiile prevăzute la punctele 2 și 3 din prezenta parte și garantează și declară că produsele cu elemente digitale în cauză sunt conforme cu tipul descris în certificatul de examinare UE de tip și respectă cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II.
Producătorul ia toate măsurile necesare pentru ca procesul de producție și monitorizarea acestuia să asigure conformitatea produselor fabricate cu elemente digitale cu tipul aprobat descris în certificatul de examinare UE de tip și cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și se asigură că producătorul îndeplinește cerințele esențiale de securitate cibernetică prevăzute în anexa I partea II.
3. Marcajul de conformitate și declarația de conformitate
3.1.
Producătorul aplică marcajul CE pe fiecare produs cu elemente digitale în parte care este conform cu tipul descris în certificatul de examinare UE de tip și care îndeplinește cerințele aplicabile prevăzute în prezentul regulament.
3.2.
Producătorul întocmește o declarație de conformitate scrisă pentru un model de produs și o păstrează la dispoziția autorităților naționale timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. Declarația de conformitate trebuie să identifice modelul produsului pentru care a fost întocmită. O copie a declarației de conformitate trebuie să fie pusă la dispoziția autorităților relevante, la cerere.
4. Reprezentantul autorizat
Obligațiile producătorului prevăzute la punctul 3 pot fi îndeplinite de către reprezentantul său autorizat, în numele său și pe răspunderea sa, cu condiția ca obligațiile relevante să fie menționate în mandat.
Partea IV Conformitatea bazată pe asigurarea totală a calității (pe baza modulului H)
1. Conformitatea bazată pe asigurarea totală a calității este procedura de evaluare a conformității prin care producătorul îndeplinește obligațiile prevăzute la punctele 2 și 5 din prezenta parte și garantează și declară pe răspunderea sa exclusivă că produsele cu elemente digitale sau categoriile de produse în cauză îndeplinesc cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și că procesele de gestionare a vulnerabilităților instituite de producător îndeplinesc cerințele prevăzute în anexa I partea II.
2. Proiectarea, dezvoltarea, producția și gestionarea vulnerabilităților produselor cu elemente digitale
Producătorul utilizează un sistem de calitate aprobat, astfel cum se specifică la punctul 3, pentru proiectarea, dezvoltarea și inspecția și testarea produsului final pentru produsele cu elemente digitale în cauză și pentru gestionarea vulnerabilităților, menține eficacitatea acestuia pe parcursul întregii perioade de asistență și este supus supravegherii specificate la punctul 4.
3.1.
Producătorul înaintează o cerere de evaluare a sistemului de calitate către un organism notificat la alegerea sa, pentru produsele cu elemente digitale în cauză.
Cererea trebuie să cuprindă:
(a)
denumirea și adresa producătorului, iar dacă cererea este depusă de reprezentantul autorizat, se precizează și numele și adresa respectivului reprezentant autorizat;
(b)
documentația tehnică pentru un singur model din fiecare categorie de produse cu elemente digitale care urmează a fi fabricate sau dezvoltate. Documentația tehnică trebuie să cuprindă, oricând este cazul, elementele menționate în anexa VII;
(c)
documentația referitoare la sistemul de calitate; și
(d)
o declarație scrisă care să precizeze că nu fost depusă o cerere identică la un alt organism notificat.
3.2.
Sistemul de calitate asigură conformitatea produselor cu elemente digitale cu cerințele esențiale de securitate cibernetică prevăzute în anexa I partea I și conformitatea proceselor de gestionare a vulnerabilităților instituite de producător cu cerințele prevăzute în anexa I partea II.
Toate elementele, cerințele și dispozițiile adoptate de către producător trebuie să fie consemnate în documente în mod sistematic și ordonat sub formă de politici, proceduri și instrucțiuni scrise. Documentația sistemului de calitate trebuie să permită o interpretare consecventă a programelor, planurilor, manualelor și înregistrărilor privind calitatea.
Documentația trebuie să cuprindă în special o descriere adecvată:
(a)
a obiectivelor referitoare la calitate și a structurii organizatorice, a responsabilităților și a competențelor personalului de conducere cu privire la proiectarea, dezvoltarea și calitatea produselor și la gestionarea vulnerabilităților;
(b)
a specificațiilor privind proiectarea și dezvoltarea tehnică, inclusiv a standardelor, care vor fi aplicate și, în cazul în care standardele armonizate sau specificațiile tehnice relevante nu vor fi aplicate în totalitate, a mijloacelor care vor fi folosite pentru a asigura respectarea cerințelor esențiale de securitate cibernetică prevăzute în anexa I partea I care se aplică produselor cu elemente digitale respective;
(c)
a specificațiilor privind procedurile, inclusiv a standardelor, care vor fi aplicate, și, în cazul în care standardele armonizate și/sau specificațiile tehnice relevante nu vor fi aplicate în totalitate, a mijloacelor care vor fi folosite pentru a asigura respectarea cerințelor esențiale de securitate cibernetică prevăzute în anexa I partea II care se aplică producătorului respectiv;
(d)
a tehnicilor de control al proiectării și dezvoltării, precum și a tehnicilor de verificare a proiectării și dezvoltării, a proceselor și a acțiunilor sistematice care vor fi utilizate la proiectarea și dezvoltarea produselor cu elemente digitale ce aparțin categoriei de produse vizate;
(e)
a tehnicilor corespunzătoare de producție, de control al calității și de asigurare a calității, a proceselor și a acțiunilor sistematice care vor fi utilizate;
(f)
a examinărilor și a testelor care vor fi efectuate înaintea, în cursul și în urma producției, precum și a frecvenței cu care vor fi efectuate;
(g)
a înregistrărilor referitoare la calitate, cum ar fi rapoarte de inspecție și informații referitoare la teste, precum și date privind etalonarea și rapoarte referitoare la calificarea personalului implicat;
(h)
a mijloacelor de monitorizare privind atingerea calității cerute a proiectului și a produsului și funcționarea eficace a sistemului de calitate.
3.3.
Organismul notificat evaluează sistemul de calitate pentru a stabili dacă acesta îndeplinește cerințele menționate la punctul 3.2.
Acesta prezumă conformitatea cu cerințele respective pentru elementele sistemului de calitate care sunt conforme cu specificațiile corespunzătoare ale standardului național care pune în aplicare standardul armonizat sau specificațiile tehnice relevante.
Pe lângă experiența în sisteme de management al calității, echipa de audit trebuie să aibă cel puțin un membru cu experiență de evaluator în domeniul produsului relevant și al tehnologiei produsului în cauză și să cunoască cerințele aplicabile prevăzute în prezentul regulament. Auditul trebuie să includă o vizită de evaluare la sediul producătorului, în cazul în care există un astfel de sediu. Echipa de audit analizează documentația tehnică menționată la punctul 3.1 litera (b) în vederea verificării capacității producătorului de a identifica cerințele aplicabile prevăzute în prezentul regulament și a efectuării examinărilor necesare cu scopul de a asigura conformitatea produsului cu elemente digitale cu aceste cerințe.
Decizia este notificată producătorului sau reprezentantului autorizat al acestuia.
Notificarea trebuie să cuprindă concluziile procesului de audit și decizia motivată referitoare la evaluare.
3.4.
Producătorul se angajează să îndeplinească obligațiile care decurg din sistemul de calitate astfel cum a fost aprobat și să îl mențină astfel încât acesta să rămână adecvat și eficace.
3.5.
Producătorul informează în permanență organismul notificat care a aprobat sistemul de calitate în legătură cu orice intenție de modificare a sistemului de calitate.
Organismul notificat evaluează modificările propuse și decide dacă sistemul de calitate modificat va continua să îndeplinească cerințele menționate la punctul 3.2 sau dacă este necesară o reevaluare.
Organismul notificat notifică decizia sa producătorului. Notificarea trebuie să cuprindă concluziile examinării și decizia motivată referitoare la evaluare.
4. Supravegherea care intră în sfera de responsabilitate a organismului notificat
4.1.
Scopul supravegherii este acela de a asigura îndeplinirea corespunzătoare de către producător a obligațiilor ce decurg din sistemul de calitate aprobat.
4.2.
Producătorul autorizează accesul organismului notificat, în scopul evaluării, la spațiile de proiectare, dezvoltare, producție, inspecție, testare și depozitare și îi furnizează orice informație necesară, în special:
(a)
documentația privind sistemul de calitate;
(b)
înregistrările referitoare la calitate, astfel cum sunt prevăzute în partea sistemului de calitate destinată proiectării, de exemplu rezultatele analizelor, ale calculelor și ale testelor;
(c)
înregistrările referitoare la calitate, astfel cum sunt prevăzute în partea sistemului de calitate destinată fabricării, de exemplu rapoarte de inspecție și date privind testele, date privind etalonarea și rapoarte privind calificarea personalului în cauză.
4.3.
Organismul notificat efectuează misiuni de audit periodice pentru a se asigura că producătorul menține și aplică sistemul de calitate și prezintă producătorului un raport de audit.
5. Marcajul de conformitate și declarația de conformitate
5.1.
Producătorul aplică marcajul CE și, sub responsabilitatea organismului notificat menționat la punctul 3.1, numărul de identificare al acestuia pe fiecare produs cu elemente digitale în parte care îndeplinește cerințele prevăzute în anexa I partea I.
5.2.
Producătorul întocmește o declarație de conformitate scrisă pentru fiecare model de produs și o păstrează la dispoziția autorităților naționale timp de 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă. Declarația de conformitate trebuie să identifice modelul produsului pentru care a fost întocmită.
O copie a declarației de conformitate trebuie să fie pusă la dispoziția autorităților relevante, la cerere.
6. Pe o perioadă de cel puțin 10 ani de la introducerea pe piață a produsului cu elemente digitale sau pe perioada de asistență, oricare dintre ele este mai lungă, producătorul menține la dispoziția autorităților naționale:
(a)
documentația tehnică menționată la punctul 3.1;
(b)
documentația privind sistemul de calitate prevăzută la punctul 3.1;
(c)
modificarea menționată la punctul 3.5, astfel cum a fost aprobată;
(d)
deciziile și rapoartele organismului notificat menționate la punctele 3.5 și 4.3.
7. Fiecare organism notificat își informează autoritățile de notificare în legătură cu aprobările sistemului de calitate care au fost emise sau retrase și, în mod periodic sau la cerere, pune la dispoziția autorităților sale de notificare lista aprobărilor sistemelor de calitate care au fost refuzate, suspendate sau restricționate în alt mod.
Fiecare organism notificat informează celelalte organisme notificate în legătură cu aprobările sistemelor de calitate pe care le-a refuzat, suspendat sau retras și, la cerere, în legătură cu aprobările sistemelor de calitate pe care le-a emis.
8. Reprezentantul autorizat
Obligațiile producătorului menționate la punctele 3.1, 3.5, 5 și 6 pot fi îndeplinite de către reprezentantul său autorizat, în numele său și pe răspunderea sa, cu condiția ca obligațiile relevante să fie menționate în mandat.
Cu privire la acest act legislativ a fost formulată o declarație care se regăsește în JO C, C/2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Referințe
1.2 Cerințe identificate
1.3 Standarde asociate
2. Cerințe identificate
3. Standarde asociate
Tichete legate
|