(1)

Киберсигурността е едно от ключовите предизвикателства за Съюза. Броят и многообразието на свързаните устройства ще нараства експоненциално през следващите години. Кибератаките представляват въпрос от обществен интерес, тъй като оказват решаващо въздействие не само върху икономиката на Съюза, но и върху демокрацията, както и върху безопасността на потребителите и здравето. Поради това е необходимо да се засили подходът на Съюза към киберсигурността, да се разгледа въпросът за киберустойчивостта на равнището на Съюза и да се подобри функционирането на вътрешния пазар, като се установи единна правна рамка за съществените изисквания за киберсигурност за пускането на продукти с цифрови елементи на пазара на Съюза. Следва да бъдат решени два основни проблема, които увеличават разходите за ползвателите и обществото: ниско ниво на киберсигурност на продуктите с цифрови елементи, което се изразява в широко разпространени уязвимости и недостатъчно и непоследователно предоставяне на актуализации за сигурност за справяне с тях, и недостатъчно разбиране и достъп до информация от страна на ползвателите, което им пречи да избират продукти с подходящи характеристики за киберсигурност или да ги използват по сигурен начин.

(2)

Настоящият регламент има за цел да определи граничните условия за разработването на сигурни продукти с цифрови елементи, като се гарантира, че на пазара се пускат хардуерни и софтуерни продукти с по-малко уязвимости, както и че производителите се отнасят сериозно към сигурността през целия жизнен цикъл на продукта. Той също така има за цел да създаде условия, които позволяват на ползвателите да вземат предвид киберсигурността при избора и използването на продукти с цифрови елементи, например чрез подобряване на прозрачността по отношение на периода на поддръжка за предоставяните на пазара продукти с цифрови елементи.

(3)

Съответното право на Съюза, което е в сила, включва няколко набора от хоризонтални правила, които разглеждат определени аспекти, свързани с киберсигурността, от различни гледни точки, включително мерки за подобряване на сигурността на цифровата верига на доставките. Съществуващото право на Съюза, свързано с киберсигурността, включително Регламент (ЕС) 2019/881 на Европейския парламент и на Съвета (3) и Директива (ЕС) 2022/2555 на Европейския парламент и на Съвета (4), обаче не обхваща пряко задължителните изисквания за сигурността на продуктите с цифрови елементи.

(4)

Въпреки че съществуващото право на Съюза се прилага за някои продукти с цифрови елементи, не съществува хоризонтална регулаторна рамка на Съюза, която да установява всеобхватни изисквания за киберсигурност за всички продукти с цифрови елементи. Различните актове и инициативи, предприети до момента на равнището на Съюза и на национално равнище, решават само частично установените проблеми и рискове, свързани с киберсигурността, и пораждат разнородно законодателство в рамките на вътрешния пазар, като увеличават правната несигурност както за производителите, така и за ползвателите на тези продукти и добавят ненужна тежест за предприятията и организациите да спазват редица изисквания и задължения за подобни видове продукти. Киберсигурността на тези продукти има особено силно трансгранично измерение, тъй като продуктите с цифрови елементи, произведени в една държава членка или трета държава, често се използват от организации и потребители в целия вътрешен пазар. Именно това налага тази област да бъде регулирана на равнището на Съюза, за да се гарантира хармонизирана регулаторна рамка и правна сигурност за ползвателите, организациите и предприятията, включително микропредприятията и малките и средните предприятия съгласно определението за тях в приложението към Препоръка 2003/361/ЕО на Комисията (5). Нормативната уредба на Съюза следва да бъде хармонизирана чрез въвеждане на хоризонтални изисквания за киберсигурност за продуктите с цифрови елементи. Също така в целия Съюз следва да се гарантира правна сигурност за икономическите оператори и ползвателите, както и по-добра хармонизация на вътрешния пазар и пропорционалност за микропредприятията и малките и средните предприятия, като се създадат по-жизнеспособни условия за икономическите оператори, които се стремят да навлязат на този пазар.

(5)

По отношение на микропредприятията и малките и средните предприятия при определяне на категорията, в която попада дадено предприятие, разпоредбите на приложението към Препоръка 2003/361/ЕО следва да се прилагат в тяхната цялост. Следователно при изчисляването на числеността на персонала и финансовите тавани за определяне на категориите предприятия следва също така да се прилагат разпоредбите на член 6 от приложението към Препоръка 2003/361/ЕО относно установяването на данните за дадено предприятие, като се вземат предвид специфичните видове предприятия, като например предприятията партньори или свързаните предприятия.

(6)

Комисията следва да предостави насоки с цел подпомагане на икономическите оператори, по-специално микропредприятията и малките и средните предприятия, при прилагането на настоящия регламент. Тези насоки следва да обхващат, наред с другото, приложното поле на настоящия регламент, по-специално обработването на данни от разстояние и последиците от него за разработчиците на свободен софтуер с отворен код, прилагането на критериите, използвани за определяне на периодите на поддръжка за продуктите с цифрови елементи, взаимодействието между настоящия регламент и друго право на Съюза и концепцията за съществено изменение.

(7)

На равнището на Съюза в различни програмни и политически документи, като съвместното съобщение на Комисията и върховния представител на Съюза по въпросите на външните работи и политиката на сигурност от 16 декември 2020 г., озаглавено „Стратегия на ЕС за киберсигурност за цифровото десетилетие“, заключенията на Съвета от 2 декември 2020 г. относно киберсигурността на свързаните устройства и от 23 май 2022 г. относно установяването на позицията на Европейския съюз в киберпространството и резолюцията на Европейския парламент от 10 юни 2021 г. относно стратегията на ЕС за киберсигурност за цифровото десетилетие (6), се призовава за специфични изисквания на Съюза за киберсигурност за цифровите или свързаните продукти, като няколко трети държави въвеждат мерки за решаване на този въпрос по своя собствена инициатива. В заключителния доклад на Конференцията за бъдещето на Европа гражданите призоваха за „по-силна роля на ЕС в противодействието на киберзаплахите“. Важно е да се създаде амбициозна регулаторна рамка, за да може Съюзът да играе водеща международна роля в областта на киберсигурността.

(8)

За да се повиши общото ниво на киберсигурност на всички продукти с цифрови елементи, пуснати на вътрешния пазар, е необходимо да се въведат обективно ориентирани и технологично неутрални съществени изисквания за киберсигурност за тези продукти, които да се прилагат хоризонтално.

(9)

При определени условия всички продукти с цифрови елементи, интегрирани в по-голяма електронна информационна система или свързани с нея, могат да послужат като вектор на атака за злонамерени участници. В резултат на това дори хардуерът и софтуерът, считани за по-малко критични, могат да улеснят първоначалното компрометиране на дадено устройство или мрежа, като позволят на злонамерените участници да получат привилегирован достъп до дадена система или да се придвижат странично между системите. Поради това производителите следва да гарантират, че всички продукти с цифрови елементи са проектирани и разработени в съответствие със съществените изисквания за киберсигурност, определени в настоящия регламент. Това задължение се отнася както за продукти, които могат да бъдат свързани физически чрез хардуерни интерфейси, така и продукти, които са свързани логически, например чрез мрежови сокети, канали, файлове, приложно-програмен интерфейс или други видове софтуерни интерфейси. Тъй като киберзаплахите могат да се разпространяват чрез различни продукти с цифрови елементи, преди да достигнат до определена цел, например чрез верижно използване на множество уязвимости, производителите следва да гарантират киберсигурността и на продуктите с цифрови елементи, които са само непряко свързани с други устройства или мрежи.

(10)

С определянето на изисквания за киберсигурност при пускането на пазара на продукти с цифрови елементи се цели да се повиши киберсигурността на тези продукти както за потребителите, така и за предприятията. Тези изисквания също така ще гарантират, че киберсигурността се взема предвид във всички вериги на доставки, като по този начин крайните продукти с цифрови елементи и техните компоненти ще станат по-сигурни. Това включва и изисквания за пускане на пазара на потребителски продукти с цифрови елементи, предназначени за уязвими потребители, като например играчки и системи за наблюдение на бебето. Потребителските продукти с цифрови елементи, категоризирани в настоящия регламент като важни продукти с цифрови елементи, представляват по-висок киберриск, тъй като изпълняват функция, носеща значителен риск от неблагоприятни последици поради своята интензивност и способност за причиняване на вреда на здравето, сигурността или безопасността на ползвателите на такива продукти, и следва да се подложат на по-строга процедура за оценяване на съответствието. Това се отнася за такива продукти като продуктите за дома с функционалности за сигурност, включително интелигентни ключалки за врати, системи за наблюдение на бебето и алармени системи, за свързаните играчки и личните устройства за прикрепване към тялото с цел събиране на данни за здравето. Освен това по-строгите процедури за оценяване на съответствието, на които се изисква да бъдат подложени другите продукти с цифрови елементи, категоризирани в настоящия регламент като важни или критични продукти с цифрови елементи, ще допринесат за предотвратяване на потенциалните отрицателни въздействия върху потребителите от използването на уязвимостите.

(11)

Целта на настоящия регламент е да гарантира високо равнище на киберсигурност на продуктите с цифрови елементи и техните интегрирани решения за обработване на данни от разстояние. Такива решения за обработване на данни от разстояние следва да бъдат определени като обработване на данни от разстояние, за което софтуерът е проектиран и разработен от производителя на съответния продукт с цифрови елементи или от негово име и липсата на което би попречила на продукта с цифрови елементи да изпълнява някоя от функциите си. Този подход гарантира, че тези продукти са защитени по подходящ начин в тяхната цялост от техните производители, независимо дали данните се обработват или съхраняват локално на устройството на ползвателя или от разстояние от производителя. Същевременно обработването или съхранението от разстояние попада в обхвата на настоящия регламент само доколкото то е необходимо, за да може даден продукт с цифрови елементи да изпълнява своите функции. Такова обработване или съхранение от разстояние включва ситуацията, при която мобилно приложение изисква достъп до приложно-програмен интерфейс или до база данни, предоставяна чрез услуга, разработена от производителя. В такъв случай услугата попада в обхвата на настоящия регламент като решение за обработване на данни от разстояние. Следователно изискванията относно решенията за обработване на данни от разстояние, които попадат в обхвата на настоящия регламент, не включват технически, оперативни или организационни мерки, насочени към управление на рисковете за сигурността на мрежовите и информационните системи на производителя като цяло.

(12)

Решенията в облак представляват решения за обработване на данни от разстояние по смисъла на настоящия регламент само ако отговарят на определението, установено в настоящия регламент. Например работещите в облак функции, предоставени от производител на интелигентни устройства за дома, които дават възможност на ползвателите да контролират устройството от разстояние, попадат в обхвата на настоящия регламент. От друга страна, уебсайтове, които не поддържат функционалността на продукт с цифрови елементи, или услуги в облак, проектирани и разработени така че да не попадат под отговорността на производител на продукт с цифрови елементи, не попадат в обхвата на настоящия регламент. Директива (ЕС) 2022/2555 се прилага за услугите в облак и моделите на услуги в облак, като например софтуер като услуга (SaaS), платформа като услуга (PaaS) или инфраструктура като услуга (IaaS). Субектите, предоставящи услуги в облак в Съюза, които се определят като средни предприятия съгласно член 2 от приложението към Препоръка 2003/361/ЕО или надвишават праговете за средни предприятия, предвидени в параграф 1 от същия член, попадат в обхвата на посочената директива.

(13)

В съответствие с целта на настоящия регламент да се премахнат пречките пред свободното движение на продукти с цифрови елементи, държавите членки следва да не възпрепятстват по отношение на областите, обхванати от настоящия регламент, предоставянето на пазара на продукти с цифрови елементи, които отговарят на изискванията на настоящия регламент. Следователно по отношение на областите, хармонизирани с настоящия регламент, държавите членки не могат да налагат допълнителни изисквания за киберсигурност за предоставянето на пазара на продукти с цифрови елементи. Всеки публичен или частен субект обаче може да установи допълнителни изисквания към определените в настоящия регламент за възлагането на поръчки или използването на продукти с цифрови елементи за конкретните си цели и следователно може да избере да използва продукти с цифрови елементи, които отговарят на по-строги или по-специални изисквания за киберсигурност от приложимите за предоставянето на пазара съгласно настоящия регламент. Без да се засягат директиви 2014/24/ЕС (7) и 2014/25/ЕС (8) на Европейския парламент и на Съвета, при възлагането на обществени поръчки за продукти с цифрови елементи, които трябва да отговарят на съществените изисквания за киберсигурност, определени в настоящия регламент, включително свързаните с отстраняването на уязвимости, държавите членки следва да гарантират, че тези изисквания се вземат предвид в процеса на възлагане на обществени поръчки и че се взема предвид и способността на производителите ефективно да прилагат мерки за киберсигурност и да се справят с киберзаплахи. Освен това в Директива (ЕС) 2022/2555 се определят мерки за управление на киберрисковете за съществените и важните субекти, посочени в член 3 от посочената директива, които биха могли да включват мерки за сигурност във веригата на доставки, които изискват такива субекти да използват продукти с цифрови елементи, отговарящи на по-строги изисквания за киберсигурност от определените в настоящия регламент. Поради това в съответствие с Директива (ЕС) 2022/2555 и с нейния принцип за минимална хармонизация държавите членки могат да налагат допълнителни изисквания за киберсигурност за използването на продукти, свързани с информационни и комуникационни технологии („ИКТ продукти“), от съществени или важни субекти съгласно посочената директива, за да се гарантира по-високо ниво на киберсигурност, при условие че тези изисквания са в съответствие със задълженията на държавите членки, определени в правото на Съюза. Областите, които не са обхванати от настоящия регламент, могат да включват нетехнически фактори, свързани с продукти с цифрови елементи и техните производители. Следователно държавите членки могат да определят национални мерки, включително ограничения за продуктите с цифрови елементи или доставчиците на такива продукти, при които се вземат предвид нетехнически фактори. Националните мерки, свързани с такива фактори, се изисква да са в съответствие с правото на Съюза.

(14)

Настоящият регламент следва да не засяга отговорността на държавите членки да предприемат мерки за защита на националната сигурност в съответствие с правото на Съюза. Държавите членки следва да могат да подлагат на допълнителни мерки продуктите с цифрови елементи, които се предоставят чрез обществени поръчки или използват за целите на националната сигурност или отбраната, при условие че тези мерки са в съответствие със задълженията на държавите членки, установени в правото на Съюза.

(15)

Настоящият регламент се прилага за икономическите оператори само по отношение на продуктите с цифрови елементи, които са предоставени на пазара и следователно са доставени за разпространение или използване на пазара на Съюза в процеса на търговска дейност. Доставянето в процеса на търговска дейност може да се характеризира не само с начисляване на цена за продукт с цифрови елементи, но и с начисляване на цена за услуги по техническа поддръжка, когато това не служи само за възстановяване на действителните разходи, с намерение за извличане на печалба, например с предоставяне на софтуерна платформа, чрез която производителят печели от други услуги, изисквайки като условие за използване да се обработват лични данни по причини, различни от такива, свързани изключително с подобряване на сигурността, съвместимостта или оперативната съвместимост на софтуера, или приемайки дарения, надвишаващи разходите, свързани с проектирането, разработването и предоставянето на продукт с цифрови елементи. Приемането на дарения без намерение за извличане на печалба не следва да се счита за търговска дейност.

(16)

Продуктите с цифрови елементи, предоставени като част от предоставянето на услуга, за която се начислява такса единствено за възстановяване на действителните разходи, пряко свързани с предоставянето на тази услуга, какъвто може да е случаят с определени продукти с цифрови елементи, предоставяни от органи на публичната администрация, не следва да се считат само на тези основания за търговска дейност за целите на настоящия регламент. Освен това продукти с цифрови елементи, които са разработени или изменени от орган на публичната администрация изключително за собствено ползване, не следва да се считат за предоставени на пазара по смисъла на настоящия регламент.

(17)

Софтуерът и данните, които се споделят открито и до които ползвателите имат свободен достъп и свободно могат да използват, изменят и разпространяват същите или техни изменени версии, могат да допринесат за научните изследвания и иновациите на пазара. За да се насърчава разработването и внедряването на свободен софтуер с отворен код, по-специално от микропредприятия и малки и средни предприятия, включително стартиращи предприятия, физически лица, организации с нестопанска цел и академични научноизследователски организации, при прилагането на настоящия регламент за продукти с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, доставени за разпространение или използване в процеса на търговска дейност, следва да се вземе предвид естеството на различните модели за разработване на софтуер, разпространяван и разработван с лицензи за свободен софтуер с отворен код.

(18)

Под свободен софтуер с отворен код се разбира софтуер, чийто изходен код е открито споделян и чийто лиценз предоставя всички права, които го правят свободно достъпен, използваем, модифицируем и преразпределяем. Свободният софтуер с отворен код се разработва, поддържа и разпространява открито, включително чрез онлайн платформи. По отношение на икономическите оператори, които попадат в обхвата на настоящия регламент, само свободният софтуер с отворен код, който е предоставен на пазара и следователно е доставен за разпространение или използване в процеса на търговска дейност, следва да попада в обхвата на настоящия регламент. Следователно самите обстоятелства, при които е разработен продуктът с цифрови елементи, или начинът, по който е финансирано разработването, не следва да се вземат предвид при определяне на търговския или нетърговския характер на тази дейност. По-конкретно, за целите на настоящия регламент и по отношение на икономическите оператори, които попадат в неговия обхват, за да се гарантира, че е налице ясно разграничение между етапите на разработване и доставяне, предоставянето на продукти с цифрови елементи, квалифицирани като свободен софтуер с отворен код, от които техните производители извличат печалба, не следва да се счита за търговска дейност. Освен това доставянето на продукти с цифрови елементи, квалифицирани като компоненти на свободен софтуер с отворен код, предназначени за интегриране от други производители в техните собствени продукти с цифрови елементи, следва да се счита за предоставяне на пазара само ако първоначалният производител на компонента извлича печалба от него. Например самият факт, че продукт с цифрови елементи и със софтуер с отворен код получава финансова подкрепа от производителите или че производителите допринасят за разработването на такъв продукт, не следва сам по себе си да означава, че дейността има търговски характер. Освен това самото наличие на редовни актуализации не следва само по себе си да води до заключението, че даден продукт с цифрови елементи е доставен в процеса на търговска дейност. И накрая, за целите на настоящия регламент разработването на продукти с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, от организации с нестопанска цел не следва да се счита за търговска дейност, при условие че организацията е създадена по начин, който гарантира, че всички печалби след разходите се използват за постигането на нестопански цели. Настоящият регламент не се прилага за физически или юридически лица, които допринасят с изходен код за продукти с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, които не са под тяхна отговорност.

(19)

Като се има предвид значението за киберсигурността на много продукти с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, които се публикуват, но не се предоставят на пазара по смисъла на настоящия регламент, юридическите лица, които предоставят устойчива подкрепа за разработването на такива продукти, предназначени за търговски дейности, и които играят основна роля за гарантиране на жизнеспособността на тези продукти (попечители на софтуер с отворен код), следва да подлежат на облекчен и индивидуализиран регулаторен режим. Попечителите на софтуер с отворен код включват определени фондации, както и субекти, които разработват и публикуват свободен софтуер с отворен код в бизнес контекст, включително образувания с нестопанска цел. Регулаторният режим следва да отчита техния специфичен характер и съвместимост с вида на наложените задължения. Той следва да обхваща само продукти с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, които в крайна сметка са предназначени за търговски дейности, като например интегриране в търговски услуги или в продукти с цифрови елементи, от които се извлича печалба. За целите на посочения регулаторен режим намерението за интегриране в продукти с цифрови елементи, от които се извлича печалба, включва случаи, в които производителите, които интегрират компонент в своите собствени продукти с цифрови елементи, допринасят за разработването на този компонент по редовен начин или предоставят редовна финансова помощ, за да се гарантира непрекъснатостта на даден софтуерен продукт. Предоставянето на устойчива подкрепа за разработването на продукт с цифрови елементи включва, но не се ограничава до хостинг и управление на платформи за сътрудничество при разработването на софтуер, хостинг на изходен код или софтуер, администриране или управление на продукти с цифрови елементи, квалифицирани като свободен софтуер с отворен код, както и направляване на разработването на такива продукти. Като се има предвид, че облекченият и индивидуализиран регулаторен режим не подлага лицата, действащи като попечители на софтуер с отворен код, на същите задължения като лицата, осъществяващи дейност като производители съгласно настоящия регламент, те не следва да имат право да нанасят маркировката „СЕ“ върху продуктите с цифрови елементи, за чието разработване предоставят подкрепа.

(20)

Хостингът на продукти с цифрови елементи в хранилища със свободен достъп, включително чрез системи за управление на софтуерни пакети или на платформи за сътрудничество, сам по себе си не представлява предоставяне на пазара на продукт с цифрови елементи. Доставчиците на такива услуги следва да се считат за дистрибутори само ако предоставят такъв софтуер на пазара и следователно го доставят за разпространение или използване на пазара на Съюза в процеса на търговска дейност.

(21)

За да се подкрепи и улесни полагането на дължима грижа от страна на производителите, които интегрират в своите продукти с цифрови елементи компоненти на свободен софтуер с отворен код, които не са предмет на съществените изисквания за киберсигурност, определени в настоящия регламент, Комисията следва да може да създава доброволни програми за удостоверяване на сигурността чрез делегиран акт за допълване на настоящия регламент или чрез искане за европейска схема за сертифициране на киберсигурността съгласно член 48 от Регламент (ЕС) 2019/881, която взема предвид особеностите на моделите за разработване на свободен софтуер с отворен код. Програмите за удостоверяване на сигурността следва да бъдат замислени по такъв начин, че не само физическите или юридическите лица, разработващи или допринасящи за разработването на продукт с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, да могат да инициират или финансират удостоверяване на сигурността, но и трети страни, като например производителите, които интегрират такива продукти в своите собствени продукти с цифрови елементи, ползвателите или публичните администрации на Съюза и националните публични администрации.

(22)

С оглед на целите на настоящия регламент в областта на обществената киберсигурност и за да се подобри ситуационната осведоменост на държавите членки по отношение на зависимостта на Съюза от софтуерни компоненти, и по-специално от компоненти на потенциално свободен софтуер с отворен код, създадената с настоящия регламент специализирана група за административно сътрудничество (ADCO група) следва да може да реши да извърши съвместно оценка на зависимостта на Съюза. Органите за надзор на пазара следва да могат да изискват от производителите на установените от ADCO групата категории продукти с цифрови елементи да представят описи на софтуерните компоненти, които са създали съгласно настоящия регламент. За да се защити поверителността на описите на софтуерните компоненти, органите за надзор на пазара следва да предоставят на ADCO групата съответната информация за зависимостите по анонимен и обобщен начин.

(23)

Ефективността на прилагането на настоящия регламент ще зависи и от наличието на достатъчно умения в областта на киберсигурността. На равнището на Съюза в различни програмни и политически документи, включително съобщението на Комисията от 18 април 2023 г. относно преодоляването на недостига на таланти в областта на киберсигурността за повишаване на конкурентоспособността, растежа и устойчивостта на ЕС и заключенията на Съвета от 22 май 2023 г. относно политиката на ЕС за киберотбрана, се признава недостигът на умения в областта на киберсигурността в Съюза и необходимостта тези предизвикателства да бъдат разгледани приоритетно както в публичния, така и в частния сектор. За да се гарантира ефективното прилагане на настоящия регламент, държавите членки следва да гарантират наличието на достатъчно ресурси за обезпечаване с подходящ персонал на органите за надзор на пазара и на органите за оценяване на съответствието, така че да могат да изпълняват задачите си, както са определени в настоящия регламент. Тези мерки следва да подобрят мобилността на работната сила в областта на киберсигурността и свързаните с нея кариери. Те следва също така да допринасят за повишаване на устойчивостта и приобщаващия характер на работната сила в областта на киберсигурността, включително по отношение на пола. Поради това държавите членки следва да предприемат мерки, за да гарантират, че тези задачи се изпълняват от подходящо обучени специалисти с необходимите умения в областта на киберсигурността. По същия начин производителите следва да гарантират, че техният персонал притежава необходимите умения, за да изпълнява задълженията си, както са определени в настоящия регламент. Държавите членки и Комисията, в съответствие със своите прерогативи и компетентности и специфичните задачи, които са им възложени с настоящия регламент, следва да предприемат мерки в подкрепа на производителите, и по-специално микропредприятията и малките и средните предприятия, включително стартиращите предприятия, и в области като развитието на умения, за да спазят задълженията си, определени в настоящия регламент. Освен това, тъй като Директива (ЕС) 2022/2555 изисква от държавите членки да приемат в рамките на своите национални стратегии за киберсигурност политики за насърчаване и развиване на обучение и умения в областта на киберсигурността, при приемането на такива стратегии държавите членки могат да обмислят също така дали да разгледат и потребностите от умения в областта на киберсигурността, произтичащи от настоящия регламент, включително потребностите, свързани с преквалификация и повишаване на квалификацията.

(24)

Сигурният интернет е незаменим за функционирането на критичните инфраструктури и за обществото като цяло. Директива (ЕС) 2022/2555 има за цел да осигури високо ниво на киберсигурност на услугите, предоставяни от съществени и важни субекти, както са посочени в член 3 от посочената директива, включително доставчици на цифрова инфраструктура, които поддържат основните функции на отворения интернет, осигуряват достъп до интернет и предоставят интернет услуги. Поради това е важно продуктите с цифрови елементи, необходими на доставчиците на цифрова инфраструктура за осигуряване на функционирането на интернет, да се разработват по сигурен начин и да отговарят на утвърдените стандарти за сигурност в интернет. Настоящият регламент, който се прилага за всички свързващи се хардуерни и софтуерни продукти, има за цел също така да улесни доставчиците на цифрова инфраструктура при спазването на изискванията за веригата на доставките съгласно Директива (ЕС) 2022/2555, като се гарантира, че продуктите с цифрови елементи, които те използват за предоставяне на своите услуги, са разработени по сигурен начин и че те имат достъп до своевременни актуализации за сигурност на тези продукти.

(25)

В Регламент (ЕС) 2017/745 на Европейския парламент и на Съвета (9) са определени правилата за медицинските изделия, а в Регламент (ЕС) 2017/746 на Европейския парламент и на Съвета (10) са определени правилата за медицинските изделия за инвитро диагностика. В посочените регламенти киберрисковете са разгледани и са придружени от конкретни подходи, които са разгледани и в настоящия регламент. По-конкретно, в регламенти (ЕС) 2017/745 и (ЕС) 2017/746 се определят съществени изисквания за медицинските изделия, които функционират чрез електронна система или които сами по себе си са софтуер. Някои видове невграден софтуер и подходът на целия жизнен цикъл също са обхванати от посочените регламенти. Тези изисквания задължават производителите да разработват и създават своите продукти, като прилагат принципите за управление на риска и като определят изисквания относно мерките за ИТ сигурност, както и съответните процедури за оценяване на съответствието. Освен това от декември 2019 г. са в сила специфични насоки относно киберсигурността за медицинските изделия, които предоставят на производителите на медицински изделия, включително изделията за инвитро диагностика, насоки за това как да изпълнят всички съответни съществени изисквания, установени в приложение I към посочените регламенти по отношение на киберсигурността. Поради това продуктите с цифрови елементи, за които се прилага някой от посочените регламенти, следва да не бъдат предмет на настоящия регламент.

(26)

Продуктите с цифрови елементи, които са разработени или изменени изключително за целите на националната сигурност или отбраната, или продуктите, специално предназначени за обработване на класифицирана информация, попадат извън обхвата на настоящия регламент. Държавите членки се насърчават да осигурят за тези продукти същото ниво на защита, каквото се осигурява за продуктите, попадащи в обхвата на настоящия регламент, или дори по-високо ниво.

(27)

С Регламент (ЕС) 2019/2144 на Европейския парламент и на Съвета (11) се установяват изисквания за одобряването на типа на превозните средства, както и на техните системи и компоненти, като се въвеждат определени изисквания за киберсигурност, включително относно функционирането на сертифицирана система за управление на киберсигурността, относно актуализациите на софтуера, обхващащи политиките и процесите на организациите относно киберрисковете, свързани с целия жизнен цикъл на превозните средства, оборудването и услугите, в съответствие с приложимите правила на Организацията на обединените нации относно техническите спецификации и киберсигурността, и по-специално Правило № 155 на ООН – Единни предписания за одобрение на превозни средства по отношение на киберсигурността и системата за управление на киберсигурността (12), и се предвиждат специфични процедури за оценяване на съответствието.В областта на въздухоплаването основната цел на Регламент (ЕС) 2018/1139 на Европейския парламент и на Съвета (13) е да се установи и поддържа високо и еднакво равнище на безопасност на гражданското въздухоплаване в Съюза. С него се създава рамка за съществени изисквания за летателна годност на въздухоплавателни продукти, части и оборудване, включително софтуер, която включва задълженията за защита срещу заплахи за информационната сигурност. Процесът на сертифициране съгласно Регламент (ЕС) 2018/1139 гарантира нивото на увереност, което се цели с настоящия регламент. Поради това продуктите с цифрови елементи, за които се прилага Регламент (ЕС) 2019/2144, и продуктите, сертифицирани в съответствие с Регламент (ЕС) 2018/1139, следва да не бъдат предмет на съществените изисквания за киберсигурност и процедурите за оценяване на съответствието, определени в настоящия регламент.

(28)

С настоящия регламент се установяват хоризонтални правила за киберсигурност, които не са специфични за отделни сектори или за определени продукти с цифрови елементи. Независимо от това могат да бъдат въведени специфични по сектори или продукти правила на Съюза, в които да се определят изисквания, насочени към всички или някои от рисковете, обхванати от съществените изисквания за киберсигурност, определени в настоящия регламент. В такива случаи прилагането на настоящия регламент по отношение на продукти с цифрови елементи, обхванати от други правила на Съюза, с които се установяват изисквания за справяне с всички или някои от рисковете, обхванати от съществените изисквания за киберсигурност, посочени в настоящия регламент, може да бъде ограничено или изключено, когато такова ограничение или изключване е в съответствие с общата регулаторна рамка, приложима към тези продукти, и когато секторните правила постигат поне същото ниво на защита като предвиденото в настоящия регламент. Комисията следва да бъде оправомощена да приема делегирани актове за допълване на настоящия регламент чрез определяне на такива продукти и правила. По отношение на съществуващото право на Съюза, за което следва да се прилага такова ограничение или изключение, настоящият регламент съдържа специални разпоредби, за да се изясни връзката му с това право на Съюза.

(29)

За да се гарантира, че предоставяните на пазара продукти с цифрови елементи могат да бъдат ефективно ремонтирани и че тяхната трайност може да бъде удължавана, следва да се предвиди освобождаване за резервните части. Това освобождаване следва да обхваща както резервните части за ремонт на заварени модели продукти, предоставени преди датата на прилагане на настоящия регламент, така и за резервните части, които вече са преминали процедура за оценяване на съответствието съгласно настоящия регламент.

(30)

В Делегиран регламент (ЕС) 2022/30 на Комисията (14) се уточнява, че редица от съществените изисквания, определени в член 3, параграф 3, букви г), д) и е) от Директива 2014/53/ЕС на Европейския парламент и на Съвета (15), свързани с вредите за мрежата и неправилното използване на мрежови ресурси, личните данни и неприкосновеността на личния живот и измамите, се прилагат за определени радиосъоръжения. В Решение за изпълнение C(2022) 5637 на Комисията от 5 август 2022 г. относно искане за стандартизация до Европейския комитет за стандартизация и Европейския комитет за стандартизация в електротехниката, се определят изисквания за разработване на специфични стандарти, в които допълнително се уточнява как следва да се отговори на тези съществени изисквания. Съществените изисквания за киберсигурност, определени в настоящия регламент, включват всички елементи на съществените изисквания по член 3, параграф 3, букви г), д) и е) от Директива 2014/53/ЕС. Освен това съществените изисквания за киберсигурност, определени в настоящия регламент, са съгласувани с целите на изискванията за специфични стандарти, включени в посоченото искане за стандартизация. Поради това, когато Комисията отмени или измени Делегиран регламент (ЕС) 2022/30, вследствие на което той престане да се прилага за някои продукти, предмет на настоящия регламент, при изготвянето и разработването на хармонизирани стандарти за улесняване на прилагането на настоящия регламент, Комисията и европейските организации за стандартизация следва да вземат предвид работата по стандартизацията, извършена в контекста на Решение за изпълнение C(2022) 5637. По време на преходния период за прилагането на настоящия регламент Комисията следва да предостави насоки на попадащите в обхвата на настоящия регламент производители, за които се прилага и Делегиран регламент (ЕС) 2022/30, с цел улесняване на доказването на съответствие с двата регламента.

(31)

Директива (ЕС) 2024/2853 на Европейския парламент и на Съвета (16) допълва настоящия регламент. В посочената директива се определят правилата за отговорност за дефектни продукти, така че увредените лица да могат да претендират за обезщетение, когато вредата е причинена от дефектни продукти. С нея се установява принципът, че производителят на даден продукт носи отговорност за вреди, причинени от недостатъчната безопасност на неговия продукт, независимо от вината („обективна отговорност“). Когато тази недостатъчна безопасност представлява липсата на актуализации за сигурност след пускането на продукта на пазара и това причинява вреди, може да бъде потърсена отговорност от производителя. Задълженията на производителите, свързани с предоставянето на такива актуализации за сигурност, следва да бъдат определени в настоящия регламент.

(32)

Настоящият регламент не следва да засяга Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета (17), включително разпоредбите, свързани със създаването на механизми за сертифициране на защитата на данните и на печати и маркировки за защита на данните, с цел да се докаже съответствието на операциите по обработване от страна на администраторите и обработващите лични данни с посочения регламент. Такива операции могат да бъдат вградени в продукт с цифрови елементи. Защитата на данните на етапа на проектирането и по подразбиране, както и киберсигурността като цяло, са ключови елементи на Регламент (ЕС) 2016/679. Като защитават потребителите и организациите от киберрискове, съществените изисквания за киберсигурността, установени в настоящия регламент, трябва също така да допринесат за подобряване на защитата на личните данни и неприкосновеността на личния живот на гражданите. Следва да се обмисли възможността за полезно взаимодействие както по отношение на стандартизацията, така и по отношение на сертифицирането на аспектите на киберсигурността чрез сътрудничеството между Комисията, европейските организации за стандартизация, Агенцията на Европейския съюз за киберсигурност (ENISA), Европейския комитет по защита на данните, създаден с Регламент (ЕС) 2016/679, и националните надзорни органи за защита на личните данни. Полезни взаимодействия между настоящия регламент и правото на Съюза в областта на защитата на личните данни следва да се създадат и в областта на надзора на пазара и правоприлагането. За тази цел националните органи за надзор на пазара, определени съгласно настоящия регламент, следва да си сътрудничат с органите, осъществяващи надзор за прилагането на правото на Съюза в областта на защитата на данни. Последните следва също така да имат достъп до информация, която е от значение за изпълнението на техните задачи.

(33)

Доколкото техните продукти попадат в обхвата на настоящия регламент, доставчиците на европейски портфейли за цифрова самоличност, съгласно посоченото в член 5а, параграф 2 от Регламент (ЕС) № 910/2014 на Европейския парламент и на Съвета (18), следва да отговарят както на хоризонталните съществени изисквания за киберсигурност, определени в настоящия регламент, така и на специфичните изисквания за сигурност, определени в член 5а от Регламент (ЕС) № 910/2014. За да се улесни спазването на изискванията, доставчиците на портфейли следва да могат да докажат съответствието на европейските портфейли за цифрова самоличност с изискванията, определени съответно в настоящия регламент и в Регламент (ЕС) № 910/2014, като сертифицират своите продукти по европейска схема за сертифициране на киберсигурността, създадена съгласно Регламент (ЕС) 2019/881 и за която Комисията e определила чрез делегирани актове презумпция за съответствие с настоящия регламент, доколкото сертификатът или части от него покриват тези изисквания.

(34)

Когато интегрират компоненти, доставени от трети страни, в продукти с цифрови елементи по време на етапите на проектиране и разработване, за да гарантират, че продуктите са проектирани, разработени и произведени в съответствие със съществените изисквания за киберсигурност, определени в настоящия регламент, производителите следва да полагат дължимата грижа по отношение на тези компоненти, включително компонентите на свободен софтуер с отворен код, които не са били предоставени на пазара. Подходящото равнище на дължима грижа зависи от естеството и нивото на киберриска, свързан с даден компонент, и за тази цел следва да взема предвид едно или повече от следните действия: проверка, според случая, дали производителят на компонент е доказал съответствие с настоящия регламент, включително чрез проверка дали компонентът вече носи маркировката „СЕ“; проверка дали даден компонент получава редовни актуализации за сигурност, например чрез проверка на предходните актуализации за сигурност; проверка дали даден компонент няма уязвимости, регистрирани в европейската база данни за уязвимости, създадена съгласно член 12, параграф 2 от Директива (ЕС) 2022/2555, или в други публично достъпни бази данни за уязвимости; или извършване на допълнителни изпитвания във връзка със защитата. Задълженията за отстраняване на уязвимостите, определени в настоящия регламент, които производителите трябва да спазват при пускането на продукт с цифрови елементи на пазара и за периода на поддръжка, се прилагат за продуктите с цифрови елементи в тяхната цялост, включително за всички интегрирани компоненти. Когато при полагането на дължима грижа производителят на продукта с цифрови елементи установи уязвимост в даден компонент, включително в свободен компонент с отворен код, той следва да информира лицето или субекта, който произвежда или поддържа компонента, да предприеме мерки и да отстрани уязвимостта, а когато е приложимо, да предостави на лицето или субекта приложените корекции по отношение на защитата.

(35)

Непосредствено след преходния период за прилагането на настоящия регламент производител на продукт с цифрови елементи, който интегрира един или няколко компонента, доставени от трети страни, които също са предмет на настоящия регламент, може да не е в състояние да провери като част от задължението си за дължима грижа дали производителите на тези компоненти са доказали съответствие с настоящия регламент, например чрез проверка дали компонентите вече носят маркировката „СЕ“. Такъв може да бъде случаят, когато компонентите са били интегрирани преди настоящият регламент да стане приложим за производителите на тези компоненти. В такъв случай производителят, който интегрира такива компоненти, следва да полага дължима грижа чрез други средства.

(36)

Продуктите с цифрови елементи следва да носят маркировката „СЕ“, указваща по видим, четлив и незаличим начин тяхното съответствие с настоящия регламент с цел свободно движение в рамките на вътрешния пазар. Държавите членки следва да не създават необосновани пречки пред пускането на пазара на продукти с цифрови елементи, които съответстват на изискванията, предвидени в настоящия регламент, и носят маркировката „СЕ“. Освен това по време на търговски панаири, изложения, демонстрации или други подобни събития държавите членки следва да не възпрепятстват представянето или използването на даден продукт с цифрови елементи, който не отговаря на изискванията на настоящия регламент, включително негови прототипи, при условие че продуктът се представя с видим знак, който ясно показва, че продуктът не съответства на настоящия регламент и няма да се предоставя на пазара, докато не бъде приведен в такова съответствие.

(37)

За да се гарантира, че производителите могат да пускат софтуер за целите на изпитването, преди да подложат своите продукти с цифрови елементи на оценяване на съответствието, държавите членки следва да не възпрепятстват предоставянето на незавършен софтуер, като например алфа версии, бета версии или кандидати за пускане на пазара, при условие че незавършеният софтуер се предоставя само за времето, необходимо за неговото изпитване и събиране на обратна информация. Производителите следва да гарантират, че софтуерът, който се предоставя при тези условия, се пуска само след оценка на риска и че той отговаря във възможно най-голяма степен на изискванията за сигурност, свързани с характеристиките на продуктите с цифрови елементи, установени в настоящия регламент. Производителите следва също така да прилагат във възможно най-голяма степен изискванията за отстраняване на уязвимостите. Производителите следва да не принуждават ползвателите да надграждат до версии, пуснати само за целите на изпитването.

(38)

С цел да се гарантира, че когато се пускат на пазара, продуктите с цифрови елементи не създават киберрискове за хората и организациите, следва да се определят съществени изисквания за киберсигурност за такива продукти. Тези съществени изисквания за киберсигурност, включително изискванията за управление на уязвимостите, се прилагат за всеки отделен продукт с цифрови елементи, когато се пуска на пазара, независимо дали продуктът с цифрови елементи е произведен като отделна единица или серийно. Когато става въпрос за даден вид продукти например, всеки отделен продукт с цифрови елементи, който се пуска на пазара, следва да е преминал през всички налични софтуерни поправки или актуализации на защитата, за да се преодолеят съответните проблеми със сигурността. Когато продуктите с цифрови елементи впоследствие бъдат изменени с физически или цифрови средства по начин, който не е предвиден от производителя в първоначалната оценка на риска, и това може да означава, че те вече не отговарят на съответните съществени изисквания за киберсигурност, изменението следва да се смята за съществено. Например ремонтите биха могли да бъдат приравнени към операциите по поддръжка, при условие че те не променят вече пуснатия на пазара продукт с цифрови елементи по начин, по който може да бъде засегнато съответствието с приложимите изисквания или да бъде променено предназначението, за което продуктът е бил оценен.

(39)

Както и в случая с физическите ремонти или изменения, даден продукт с цифрови елементи следва да се счита за съществено изменен чрез промяна на софтуера, когато актуализацията на софтуера променя предназначението на този продукт и тези промени не са били предвидени от производителя в първоначалната оценка на риска или когато естеството на опасността се е променило или нивото на киберриска се е увеличило поради актуализацията на софтуера и актуализираната версия на продукта е предоставена на пазара. Когато актуализация за сигурност, която е предназначена да намали нивото на киберриска на даден продукт с цифрови елементи, не променя предназначението на продукт с цифрови елементи, тя не се счита за съществено изменение. Това обикновено включва ситуации, при които актуализация за сигурност води само до незначителни корекции на изходния код. Такъв може да бъде случаят например, когато актуализацията за сигурност е насочена към уязвимост, която е известна, включително чрез промяна на функциите или показателите на продукт с цифрови елементи единствено с цел намаляване на нивото на киберриска. По подобен начин незначителна актуализация на функционалните възможности, като например визуално подобрение или добавяне на нови пиктограми или езици към потребителския интерфейс, по принцип не следва да се счита за съществено изменение. Обратно, когато актуализация на характеристиките променя първоначално предвидените функции или типа или показателите на даден продукт с цифрови елементи и отговаря на горепосочените критерии, тя следва да се счита за съществено изменение, тъй като добавянето на нови характеристики обикновено води до увеличаване на повърхността, уязвима за атаки, и по този начин засилва киберриска. Такъв може да бъде случаят например, когато към дадено приложение се добавя нов входящ елемент, което налага производителят да осигури подходящо валидиране на входящите данни. Когато се преценява дали дадена актуализация на характеристиките се счита за съществено изменение, не е от значение дали тя се предоставя като отделна актуализация или в комбинация с актуализация за сигурност. Комисията следва да издаде насоки за това как да се определи какво съставлява съществено изменение.

(40)

Като се има предвид повторяемият характер на разработването на софтуер, производителите, които са пуснали на пазара последващи версии на софтуерен продукт в резултат на последващо съществено изменение на този продукт, следва да могат да предоставят актуализации за сигурност за периода на поддръжка само за последната версия на софтуерния продукт, която са пуснали на пазара. Те следва да могат да правят това само ако ползвателите на съответните предишни версии на продукта имат безплатен достъп до версията на продукта, която последно е пусната на пазара, и не се налага да правят допълнителни разходи за адаптиране на хардуерната или софтуерната среда, в която използват продукта. Такъв например би могъл да бъде случаят, когато модернизирането на настолната операционна система не изисква нов хардуер като по-бърз централен процесор или по-голяма памет. Въпреки това производителят следва да продължи да спазва през периода на поддръжка други изисквания за отстраняване на уязвимости, като например трябва да има политика за координирано оповестяване на уязвимости или установени мерки за улесняване на обмена на информация за потенциални уязвимости за всички последващи съществено изменени версии на софтуерния продукт, пуснат на пазара. Производителите следва да могат да предоставят незначителни актуализации на защитата или на функционалните възможности, които не представляват съществено изменение, само за последната версия или подверсия на софтуерен продукт, който не е бил съществено изменен. Същевременно, когато хардуерен продукт като смартфон не е съвместим с последната версия на операционната система, с която първоначално е бил доставен, производителят следва да продължи да предоставя актуализации за сигурност поне за последната съвместима версия на операционната система през периода на поддръжка.

(41)

В съответствие с общоприетата концепция за съществено изменение за продукти, регулирани от законодателството на Съюза за хармонизация, когато настъпи съществено изменение, което може да повлияе на съответствието на даден продукт с цифрови елементи с настоящия регламент, или когато се промени предназначението на този продукт, е целесъобразно да се провери съответствието на продукта с цифрови елементи и когато е приложимо, той да бъде подложен на ново оценяване на съответствието. Когато е приложимо, ако производителят извършва оценяване на съответствието с участието на трета страна, третата страна следва да бъде уведомявана за промените, които могат да доведат до съществени изменения.

(42)

Когато продукт с цифрови елементи се подлага на „обновяване“, „поддръжка“ и „ремонт“, както са определени в член 2, точки 18, 19 и 20 от Регламент (ЕС) 2024/1781 на Европейския парламент и на Съвета (19), това не води непременно до съществено изменение на продукта, например ако предназначението и функционалните възможности не се променят и нивото на риска остава същото. Осъвременяването на продукт с цифрови елементи от страна на производителя обаче може да доведе до промени в проектирането и разработването на продукта и следователно може да повлияе на неговото предназначение и съответствие с определените в настоящия регламент изисквания.

(43)

Продуктите с цифрови елементи следва да се считат за важни, ако отрицателното въздействие от използването на потенциални уязвимости на продукта може да бъде сериозно поради, наред с другото, функционалните възможности, свързани с киберсигурността, или функция, носеща значителен риск от неблагоприятни последици поради своята интензивност и способност за нарушаване, контрол или причиняване на вреди на голям брой други продукти с цифрови елементи или на здравето, сигурността или безопасността на ползвателите чрез пряко манипулиране, като например функция на централна система, включително управление на мрежата, контрол на конфигурацията, виртуализация или обработка на лични данни. По-специално, уязвимостите в продуктите с цифрови елементи, които имат свързани с киберсигурността функционални възможности, като например мениджъри за зареждане, могат да доведат до разпространение на проблеми със сигурността по цялата верига на доставките. Сериозността на въздействието на даден инцидент може да се увеличи и когато продуктът изпълнява предимно функция на централна система, включително управление на мрежата, контрол на конфигурацията, виртуализация или обработване на лични данни.

(44)

Някои категории продукти с цифрови елементи следва да подлежат на по-строги процедури за оценяване на съответствието, като се запази пропорционален подход. За тази цел важните продукти с цифрови елементи следва да бъдат разделени на два класа, които отразяват нивото на киберриска, свързан с тези категории продукти. Инцидент, свързан с важни продукти с цифрови елементи от клас II, може да доведе до по-големи отрицателни въздействия, отколкото инцидент, свързан с важни продукти с цифрови елементи от клас I, например поради естеството на тяхната функция, свързана с киберсигурността, или изпълнението на друга функция, която носи значителен риск от неблагоприятни последици. За да се указва, че са възможни такива по-големи отрицателни въздействия, продуктите с цифрови елементи от клас II биха могли или да имат функционални възможности, свързани с киберсигурността, или да изпълняват друга функция, която носи значителен риск от неблагоприятни последици, който е по-висок, отколкото за продуктите, изброени в клас I, или да отговарят и на двата горепосочени критерия. Поради това важните продукти с цифрови елементи от клас II следва да подлежат на по-строга процедура за оценяване на съответствието.

(45)

Важните продукти с цифрови елементи, както са посочени в настоящия регламент, следва да се разбират като продукти, които имат основните функционални възможности на категория важни продукти с цифрови елементи, посочена в настоящия регламент. Например в настоящия регламент се посочват категории важни продукти с цифрови елементи, които по своите функционални възможности се определят като защитни стени или системи за установяване или предотвратяване на проникване от клас II. В резултат на това защитните стени или системите за установяване или предотвратяване на проникване подлежат на задължително оценяване на съответствието от трета страна. Това не се отнася за други продукти с цифрови елементи, които не са категоризирани като важни продукти с цифрови елементи, които могат да включват защитни стени или системи за откриване или предотвратяване на проникване. Комисията следва да приеме акт за изпълнение, за да уточни техническото описание на категориите важни продукти с цифрови елементи, които попадат в клас I и в клас II, както е посочено в настоящия регламент.

(46)

Категориите критични продукти с цифрови елементи, посочени в настоящия регламент, имат функционални възможности, свързани с киберсигурността, и изпълняват функция, носеща значителен риск от неблагоприятни последици, поради своята интензивност и способност за нарушаване, контрол или причиняване на вреди на голям брой други продукти с цифрови елементи чрез пряко манипулиране. Освен това тези категории продукти с цифрови елементи се считат за критични зависимости за съществените субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555. Категориите критични продукти с цифрови елементи, посочени в приложение към настоящия регламент, вече широко използват поради критичното си естество различни форми на сертифициране и също така са обхванати от европейската схема за сертифициране на киберсигурността, основана на общи критерии (ЕССК), установена с Регламент за изпълнение (ЕС) 2024/482 на Комисията (20). Поради това, за да се гарантира обща адекватна защита на киберсигурността на критичните продукти с цифрови елементи в Съюза, би било целесъобразно и пропорционално тези категории продукти да подлежат, посредством делегиран акт, на задължително европейско сертифициране на киберсигурността, когато съответната европейска схема за сертифициране на киберсигурността, обхващаща тези продукти, вече е въведена и Комисията е извършила оценка на потенциалното въздействие на предвиденото задължително сертифициране върху пазара. При тази оценка следва да се вземат предвид както предлагането, така и търсенето, включително дали е налице достатъчно търсене на съответните продукти с цифрови елементи от държавите членки и от ползвателите, за да се изисква европейско сертифициране на киберсигурността, както и целите, за които е предвидено да се използват продуктите с цифрови елементи, включително критичните зависимости от тях на съществени субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555. В оценката следва също така да се анализират потенциалните последици от задължителното сертифициране върху наличността на тези продукти на вътрешния пазар, както и капацитетът и готовността на държавите членки за прилагането на съответните европейски схеми за сертифициране на киберсигурността.

(47)

В делегираните актове, които изискват задължително европейско сертифициране на киберсигурността, следва да се определят продуктите с цифрови елементи, които имат основните функционални възможности на категория критични продукти с цифрови елементи, посочена в настоящия регламент, и които трябва да бъдат предмет на задължително сертифициране, както и изискваното ниво на увереност, което следва да бъде поне „съществено“. Изискваното ниво на увереност следва да бъде пропорционално на нивото на киберриска, свързан с продукта с цифрови елементи. Например, когато продуктът с цифрови елементи има основните функционални възможности на категория критични продукти с цифрови елементи, посочена в настоящия регламент, и е предназначен за употреба в чувствителна или критична среда, като например продукти, предназначени за използване от съществените субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555, за него може да се изисква най-високо ниво на увереност.

(48)

За да се гарантира в Съюза обща адекватна защита на киберсигурността на продуктите с цифрови елементи, които имат основните функционални възможности на категория критични продукти с цифрови елементи, определена в настоящия регламент, Комисията следва също така да бъде оправомощена да приема делегирани актове за изменение на настоящия регламент чрез добавяне или оттегляне на категории критични продукти с цифрови елементи, за които производителите да трябва да получат европейски сертификат за киберсигурност в рамките на европейска схема за сертифициране на киберсигурността съгласно Регламент (ЕС) 2019/881, за да докажат съответствие с настоящия регламент. Към тези категории може да бъде добавена нова категория критични продукти с цифрови елементи, ако е налице критична зависимост от тях на съществени субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555, или когато тези продукти са засегнати от инциденти или съдържат използвани уязвимости и това би могло да доведе до смущения на критичните вериги на доставки. Когато оценява необходимостта от добавяне или оттегляне на категории критични продукти с цифрови елементи чрез делегиран акт, Комисията следва да може да вземе предвид дали държавите членки са установили на национално равнище продукти с цифрови елементи, които имат критично важна роля за устойчивостта на съществените субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555, и които все по-често са изложени на кибератаки по веригата на доставки с потенциални сериозни неблагоприятни последици. Освен това Комисията следва да може да вземе предвид резултатите от координираната на равнището на Съюза оценка на риска за критичните вериги на доставки, извършена в съответствие с член 22 от Директива (ЕС) 2022/2555.

(49)

Комисията следва да гарантира, че при подготовката на мерките за прилагане на настоящия регламент се провеждат структурирани и редовни консултации с широк кръг заинтересовани страни. Такъв следва да бъде по-специално случаят, когато Комисията прави оценка дали е необходимо евентуално да се актуализират списъците на категориите важни или критични продукти с цифрови елементи; тогава следва да се направят консултации със съответните производители и техните становища следва да бъдат взети предвид, за да се анализират киберрисковете, както и балансът на разходите и ползите от определянето на такива категории продукти като важни или критични.

(50)

В настоящия регламент са целенасочено разгледани киберрисковете. Продуктите с цифрови елементи обаче могат да създават и други рискове за безопасността, които не винаги са свързани с киберсигурността, но могат да бъдат следствие от нарушение на сигурността. Тези рискове следва да продължат да се регулират от съответното законодателство на Съюза за хармонизация, различно от настоящия регламент. Ако не е приложимо законодателство на Съюза за хармонизация, различно от настоящия регламент, спрямо тях следва да се прилага Регламент (ЕС) 2023/988 на Европейския парламент и на Съвета (21). Поради това, с оглед на целевия характер на настоящия регламент, като изключение от член 2, параграф 1, трета алинея, буква б) от Регламент (ЕС) 2023/988, глава III, раздел 1, глави V и VII и глави IX—XI от Регламент (ЕС) 2023/988 следва да се прилагат за продукти с цифрови елементи по отношение на рисковете за сигурността, които не са обхванати от настоящия регламент, ако тези продукти не са предмет на специфични изисквания, наложени от законодателство на Съюза за хармонизация, различно от настоящия регламент, по смисъла на член 3, точка 27 от Регламент (ЕС) 2023/988.

(51)

Продуктите с цифрови елементи, класифицирани като високорискови системи с ИИ съгласно член 6 от Регламент (ЕС) 2024/1689 на Европейския парламент и на Съвета (22), които попадат в обхвата на настоящия регламент, следва да отговарят на съществените изисквания за киберсигурност, определени в настоящия регламент. Когато тези високорискови системи с ИИ отговарят на съществените изисквания за киберсигурност, определени в настоящия регламент, те следва да се считат за съответстващи на изискванията за киберсигурност, определени в член 15 от Регламент (ЕС) 2024/1689, доколкото тези изисквания са обхванати от ЕС декларацията за съответствие, издадена съгласно настоящия регламент, или от части от нея. За тази цел оценката на киберрисковете, свързани с продукт с цифрови елементи, класифицирани като високорискови системи с ИИ съгласно Регламент (ЕС) 2024/1689, които трябва да бъдат взети предвид на етапите на планиране, проектиране, разработване, производство, доставка и поддръжка на такъв продукт, както се изисква съгласно настоящия регламент, следва да отчита рисковете за киберустойчивостта на дадена система с ИИ по отношение на опити на неоправомощени трети лица да променят нейното използване, поведение или ефективност, включително специфични уязвимости на ИИ, като например заразяване на данни или враждебни атаки, както и по целесъобразност рисковете за основните права, в съответствие с Регламент (ЕС) 2024/1689. По отношение на процедурите за оценяване на съответствието, свързани със съществените изисквания за киберсигурност за даден продукт с цифрови елементи, който попада в обхвата на настоящия регламент и е класифициран като високорискова система с ИИ, по правило следва да се прилага член 43 от Регламент (ЕС) 2024/1689 вместо съответните разпоредби на настоящия регламент. Това правило обаче следва да не води до намаляване на необходимото ниво на увереност за важните или критичните продукти с цифрови елементи, посочени в настоящия регламент. Поради това, като изключение от това правило, за високорисковите системи с ИИ, които попадат в обхвата на Регламент (ЕС) 2024/1689 и са определени също като важни или критични продукти с цифрови елементи, посочени в настоящия регламент, и за които се прилага процедурата за оценяване на съответствието въз основа на вътрешен контрол, посочена в приложение VI към Регламент (ЕС) 2024/1689, следва да се прилагат процедурите за оценяване на съответствието, предвидени в настоящия регламент, доколкото това се отнася до съществените изисквания за киберсигурност, установени в настоящия регламент. В такъв случай за всички останали аспекти, обхванати от Регламент (ЕС) 2024/1689, следва да се прилагат съответните разпоредби за оценяване на съответствието въз основа на вътрешен контрол, посочени в приложение VI към посочения регламент.

(52)

За да се подобри сигурността на продуктите с цифрови елементи, пуснати на вътрешния пазар, е необходимо да се определят съществени изисквания за киберсигурност, приложими за тези продукти. Тези съществени изисквания за киберсигурност следва да не засягат координираните на равнището на Съюза оценки на риска за сигурността на критичните вериги на доставките, предвидени в член 22 от Директива (ЕС) 2022/2555, които отчитат както технически, така и когато е уместно, нетехнически рискови фактори, като например неправомерно влияние от страна на трета държава върху доставчиците. Освен това те не следва да засягат прерогативите на държавите членки да определят допълнителни изисквания, които отчитат нетехнически фактори, с цел осигуряване на високо ниво на устойчивост, включително тези, определени в Препоръка (ЕС) 2019/534 на Комисията (23), в координираната оценка на ЕС на риска за киберсигурността на 5G мрежите и в набора от инструменти на ЕС за киберсигурност на 5G, договорени от групата за сътрудничество, създадена съгласно член 14 от Директива (ЕС) 2022/2555.

(53)

Производителите на продукти, попадащи в обхвата на Регламент (ЕС) 2023/1230 на Европейския парламент и на Съвета (24), които са също така продукти с цифрови елементи съгласно определението в настоящия регламент, следва да отговарят както на съществените изисквания за киберсигурност, посочени в настоящия регламент, така и на съществените изисквания за безопасност и опазване на здравето, посочени в Регламент (ЕС) 2023/1230. Съществените изисквания за киберсигурност, определени в настоящия регламент, и някои съществени изисквания, установени в Регламент (ЕС) 2023/1230, могат да се прилагат по отношение на сходни рискове за киберсигурността. Поради това спазването на съществените изисквания за киберсигурност, определени в настоящия регламент, би могло да улесни спазването на съществените изисквания, които обхващат и определени рискове за киберсигурността, посочени в Регламент (ЕС) 2023/1230, и по-специално тези относно защитата срещу корупция, безопасността и надеждността на системите за контрол, посочени в раздели 1.1.9 и 1.2.1 от приложение III към въпросния регламент. Тези полезни взаимодействия трябва да бъдат доказани от производителя, например като се прилагат, когато са налични, хармонизирани стандарти или други технически спецификации, обхващащи съответните съществени изисквания за киберсигурност, след оценка на риска, обхващаща тези киберрискове. Производителят следва също така да спазва приложимите процедури за оценяване на съответствието, посочени в настоящия регламент и в Регламент (ЕС) 2023/1230. В подготвителната работа за подпомагане на прилагането на настоящия регламент и на Регламент (ЕС) 2023/1230 и свързаните процеси по стандартизация Комисията и европейските организации за стандартизация следва да насърчават последователността при оценяването на киберрисковете и начина, по който тези рискове трябва да бъдат обхванати от хармонизирани стандарти по отношение на съответните съществени изисквания. Комисията и европейските организации за стандартизация следва по-специално да вземат предвид настоящия регламент при подготовката и разработването на хармонизирани стандарти за улесняване на прилагането на Регламент (ЕС) 2023/1230, по-конкретно по отношение на аспектите на киберсигурността, свързани със защитата срещу корупция и безопасността и надеждността на системите за управление, посочени в раздели 1.1.9 и 1.2.1 от приложение III към посочения регламент. Комисията следва да предостави насоки, за да подпомогне попадащите в обхвата на настоящия регламент производители, за които се прилага и Регламент (ЕС) 2023/1230, и по-специално с цел улесняване на доказването на съответствие със съответните съществени изисквания, посочени в настоящия регламент и в Регламент (ЕС) 2023/1230.

(54)

За да се гарантира, че продуктите с цифрови елементи са безопасни както в момента на пускането им на пазара, така и през целия период, през който се очаква продуктът с цифрови елементи да се използва, е необходимо да се определят съществени изисквания за киберсигурност за отстраняване на уязвимостите и съществени изисквания за киберсигурност, свързани с характеристиките на продуктите с цифрови елементи. Въпреки че производителите следва да спазват всички съществени изисквания за киберсигурност, свързани с отстраняването на уязвимостите през целия период на поддръжка, те следва да определят кои други съществени изисквания за киберсигурност, свързани с характеристиките на продукта, са приложими за съответния вид продукт с цифрови елементи. За тази цел производителите следва да извършат оценка на киберрисковете, свързани с даден продукт с цифрови елементи, за да определят съответните рискове и съответните съществени изисквания за киберсигурност, така че да предоставят своите продукти с цифрови елементи без вече известни уязвимости, които могат да бъдат използвани и да окажат въздействие върху сигурността на тези продукти, както и за да приложат по уместен начин подходящи хармонизирани стандарти, общи спецификации или европейски или международни стандарти.

(55)

Когато някои съществени изисквания за киберсигурност не са приложими към продукт с цифрови елементи, производителят следва да включи ясна обосновка в оценката на киберриска, включително в техническата документация. Такъв би могъл да бъде случаят, когато съществено изискване за киберсигурност е несъвместимо с естеството на продукта с цифрови елементи. Например предназначението на даден продукт с цифрови елементи може да изисква производителят да следва широко признати стандарти за оперативна съвместимост, дори ако вече не се счита, че неговите защитени елементи са на съвременно техническо равнище. По сходен начин друго законодателство на Съюза изисква от производителите да прилагат специфични изисквания за оперативна съвместимост. Когато съществено изискване за киберсигурност не е приложимо за даден продукт с цифрови елементи, но производителят е установил киберрискове във връзка с това съществено изискване за киберсигурност, той следва да предприеме мерки за справяне с тези рискове чрез други средства, например чрез ограничаване на предназначението на продукта до надеждна среда или чрез информиране на ползвателите за тези рискове.

(56)

Една от най-важните мерки, които ползвателите трябва да предприемат, за да защитят своите продукти с цифрови елементи от кибератаки, е да инсталират най-новите налични актуализации за сигурност във възможно най-кратък срок. Поради това производителите следва да проектират своите продукти и да въведат процеси, така че да гарантират, че продуктите с цифрови елементи включват функции, които позволяват автоматичното уведомяване, разпространение, изтегляне и инсталиране на актуализации за сигурност, по-специално в случай на потребителски продукти. Те следва също така да предоставят възможността за одобряване на изтеглянето и инсталирането на актуализациите за сигурност като последна стъпка. Ползвателите следва да продължат да имат възможността да дезактивират автоматичните актуализации благодарение на ясен и лесен за използване механизъм, придружен с ясни инструкции за това как те могат да се откажат от тези актуализации. Изискванията, свързани с автоматичните актуализации, както са установени в приложение към настоящия регламент, не са приложими за продукти с цифрови елементи, чието основно предназначение е да бъдат интегрирани като компоненти в други продукти. Те също така не се прилагат за продукти с цифрови елементи, за които ползвателите не биха могли разумно да очакват автоматични актуализации, включително продукти с цифрови елементи, предназначени за използване в професионални ИКТ мрежи, и по-специално в критични и промишлени среди, където автоматичното актуализиране би могло да доведе до смущения в операциите. Независимо дали даден продукт с цифрови елементи е проектиран така, че да получава автоматични актуализации, или не, неговият производител следва да информира ползвателите за уязвимостите и без забавяне да предоставя актуализации за сигурност. Когато продукт с цифрови елементи има потребителски интерфейс или подобни технически средства, позволяващи пряко взаимодействие с неговите ползватели, производителят следва да използва тези характеристики, за да информира ползвателите, че техният продукт с цифрови елементи е достигнал края на периода на поддръжка. Уведомленията следва да бъдат ограничени до необходимото, за да се гарантира ефективното получаване на тази информация, и не следва да оказват отрицателно въздействие върху използването на продукта с цифрови елементи от страна на ползвателите.

(57)

За да се подобри прозрачността на процесите на отстраняване на уязвимостите и да се гарантира, че от ползвателите не се изисква да инсталират нови актуализации на функционалните възможности единствено с цел получаване на последните актуализации за сигурност, производителите следва да гарантират, когато това е технически осъществимо, че новите актуализации за сигурност се предоставят отделно от актуализациите на функционалните възможности.

(58)

В съвместното съобщение на Комисията и върховния представител на Съюза по въпросите на външните работи и политиката на сигурност от 20 юни 2023 г., озаглавено „Европейска стратегия за икономическа сигурност“, се посочва, че Съюзът трябва да увеличи максимално ползите от отворения характер на своята икономика, като същевременно сведе до минимум рисковете от икономическата зависимост от високорискови доставчици чрез обща стратегическа рамка за икономическата сигурност на Съюза. Зависимостта от високорискови доставчици на продукти с цифрови елементи може да представлява стратегически риск, който трябва да се разглежда на равнището на Съюза, особено когато продуктите с цифрови елементи са предназначени за използване от съществени субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555. Тези рискове могат да бъдат свързани, наред с другото, и с юрисдикцията, приложима за производителя, характеристиките на неговата корпоративна собственост и връзките на контрол с правителството на третата държава, в която е установен, по-специално когато дадена трета държава участва в икономически шпионаж или няма отговорно поведение в киберпространството и нейното законодателство позволява произволен достъп до всякакъв вид операции или данни на дружествата, включително чувствителни от търговска гледна точка данни, и може да налага задължения за целите на разузнаването без демократични механизми за взаимозависимост и взаимоограничаване, механизми за надзор, надлежно провеждане на съдебните процеси или право на обжалване пред независим съд. При определяне на значимостта на киберриск по смисъла на настоящия регламент Комисията и органите за надзор на пазара, съгласно отговорностите си, посочени в настоящия регламент, следва да вземат предвид и нетехническите рискови фактори, по-специално тези, установени в резултат на координирани на равнището на Съюза оценки на риска за сигурността на критични вериги за доставка, извършени в съответствие с член 22 от Директива (ЕС) 2022/2555.

(59)

С цел да се гарантира сигурността на продуктите с цифрови елементи след пускането им на пазара, производителите следва да определят периода на поддръжка, които следва да отразяват времето, през което се очаква продуктът с цифрови елементи да бъде в употреба. При определянето на период на поддръжка производителят следва да вземе предвид по-специално разумните очаквания на ползвателите, естеството на продукта, както и съответното законодателство на Съюза, определящо жизнения цикъл на продуктите с цифрови елементи. Производителите следва също така да могат да вземат предвид и други значими фактори. Критериите следва да се прилагат по начин, който гарантира пропорционалност при определянето на периода на поддръжка. При поискване производителят следва да предостави на органите за надзор на пазара информацията, която е била взета предвид при определянето на периода на поддръжка на даден продукт с цифрови елементи.

(60)

Периодът на поддръжка, през който производителят гарантира ефективното отстраняване на уязвимостите, не следва да бъде по-кратък от пет години, освен ако жизненият цикъл на продукта с цифрови елементи е по-кратък от пет години, като в този случай производителят следва да гарантира отстраняването на уязвимостите за този жизнен цикъл. Когато е разумно да се очаква продуктът с цифрови елементи да се използва повече от пет години, какъвто често е случаят с хардуерните компоненти като дънни платки или микропроцесори, мрежови устройства като маршрутизатори, модеми или комутатори, както и софтуер като операционни системи или инструменти за обработване на видеоматериали, производителите следва съответно да гарантират по-дълги периоди на поддръжка. По-специално продуктите с цифрови елементи, предназначени за използване в промишлени условия, като например системи за промишлен контрол, често се използват за значително по-дълги периоди от време. Производителят следва да може да определи период на поддръжка, по-кратък от пет години, само когато това е оправдано поради естеството на съответния продукт с цифрови елементи и когато се очаква този продукт да се използва по-малко от пет години, като в този случай периодът на поддръжка следва да съответства на очакваното време на използване. Например жизненият цикъл на приложение за проследяване на контакти, предназначено за да се използва по време на пандемия, може да бъде ограничен до продължителността на пандемията. Освен това някои софтуерни приложения поради естеството си могат да се предоставят само въз основа на абонаментен модел, по-специално когато след изтичането на абонамента приложението става недостъпно за ползвателя и следователно няма повече да бъде използвано.

(61)

Когато продуктите с цифрови елементи достигнат края на периода си на поддръжка, за да се гарантира, че уязвимостите могат да бъдат отстранявани след края на периода на поддръжка, производителите следва да предвидят предоставянето на изходния код на такива продукти с цифрови елементи или на други предприятия, които се ангажират да удължат предоставянето на услуги за отстраняване на уязвимости, или на обществеността. Когато предоставят изходния код на други предприятия, производителите следва да могат да защитят собствеността върху продукта с цифрови елементи и да предотвратят разпространението на изходния код сред обществеността, например чрез договорни споразумения.

(62)

За да се гарантира, че производителите в целия Съюз определят сходни периоди на поддръжка за сравними продукти с цифрови елементи, ADCO групата следва да публикува статистически данни за средните периоди на поддръжка, определени от производителите за категориите продукти с цифрови елементи, и да издаде насоки, указващи подходящите периоди на поддръжка за тези категории. Освен това, за да се гарантира хармонизиран подход в рамките на целия вътрешен пазар, Комисията следва да може да приема делегирани актове за определяне на минимални периоди на поддръжка за конкретни категории продукти, когато данните, предоставени от органите за надзор на пазара, показват, че периодите на поддръжка, определени от производителите, системно не съответстват на критериите за определяне на периодите на поддръжка, установени в настоящия регламент, или че производителите в различни държави членки неоснователно определят различни периоди на поддръжка.

(63)

Производителите следва да създадат единно звено за контакт, което да дава възможност на ползвателите да комуникират лесно с тях, включително с цел сигнализиране и получаване на информация относно уязвимостите на продукта с цифрови елементи. Те следва да направят така, че единното звено за контакт да е леснодостъпно за ползвателите, да посочват ясно съществуването му и да поддържат информацията актуална. Когато производителите решат да предлагат автоматизирани инструменти, като например чатове, те следва да предлагат също така и телефонен номер или други цифрови средства за контакт като адрес на електронна поща или формуляр за контакт. Единното звено за контакт не следва да разчита изключително на автоматизирани инструменти.

(64)

Производителите следва да предоставят на пазара своите продукти с цифрови елементи с конфигурация с настройки за сигурност по подразбиране и да предоставят безплатно на потребителите актуализации за сигурност. Производителите следва да могат да се отклоняват от съществените изисквания за киберсигурност в случай на специално създадени продукти, които са пригодени за конкретна цел за конкретен бизнес ползвател, и когато както производителят, така и ползвателят изрично са се съгласили с различен набор от договорни условия.

(65)

Производителите следва да нотифицират едновременно, чрез единната платформа за докладване, екипа за реагиране при инциденти с компютърната сигурност (ЕРИКС), определен за координатор, и ENISA за активно използвани уязвимости, съдържащи се в продукти с цифрови елементи, както и за сериозни инциденти, които оказват въздействие върху сигурността на тези продукти. Нотификациите следва да се подават, като се използва крайната точка за електронно нотифициране на определен за координатор ЕРИКС, и следва да бъдат едновременно достъпни за ENISA.

(66)

Производителите следва да подават нотификации за активно използваните уязвимости, за да се гарантира, че определените за координатори ЕРИКС и ENISA имат ясна картина по отношение на тези уязвимости и получават необходимата информация за изпълнение на техните задачи, определени в Директива (ЕС) 2022/2555, и да се повиши цялостното ниво на киберсигурност на съществените и важните субекти, както са посочени в член 3 от същата директива, както и за да се осигури ефективното функциониране на органите за надзор на пазара. Тъй като повечето продукти с цифрови елементи се предлагат на целия вътрешен пазар, всяка използвана уязвимост в даден продукт с цифрови елементи следва да се счита за заплаха за функционирането на вътрешния пазар. ENISA следва, със съгласието на производителя, да оповестява фиксирани уязвимости в европейската база данни за уязвимости, създадена съгласно член 12, параграф 2 от Директива (ЕС) 2022/2555. Европейската база данни за уязвимости ще подпомага производителите да откриват вече известни уязвимости в своите продукти, за да се гарантира, че на пазара се предоставят безопасни продукти.

(67)

Производителите следва също така да нотифицират определения за координатор ЕРИКС и ENISA за всеки сериозен инцидент, който оказва въздействие върху сигурността на продукта с цифрови елементи. С цел да се гарантира, че ползвателите могат да реагират бързо на сериозни инциденти, които оказват въздействие върху сигурността на техните продукти с цифрови елементи, производителите следва също така да информират своите ползватели за всеки такъв инцидент и когато е приложимо, за всички корективни мерки, които ползвателите могат да приложат, за да намалят въздействието на инцидента, например като публикуват съответната информация на своите уебсайтове или, когато производителите са в състояние да се свържат с ползвателите и когато това е оправдано от киберрисковете, като се обърнат директно към ползвателите.

(68)

Активно използваните уязвимости се отнасят до случаи, в които производител установи, че нарушение на сигурността, засягащо ползвателите на неговите продукти или други физически или юридически лица, е причинено от злонамерен участник, който се е възползвал от недостатък в един от продуктите с цифрови елементи, предоставени на пазара от производителя. Примери за такива уязвимости могат да бъдат слабости във функциите на продукта за идентификация и удостоверяване на автентичността. Уязвимостите, които се откриват без злонамереност за целите на добросъвестното изпитване, разследване, коригиране или оповестяване, за да се насърчава сигурността или безопасността на собственика на системата и нейните ползватели, не следва да подлежат на задължение за нотифициране. Сериозните инциденти, които оказват въздействие върху сигурността на продукта с цифрови елементи, от друга страна, се отнасят до ситуации, при които киберинцидент засяга процесите на производителя по разработване, производство или поддръжка по такъв начин, че може да доведе до повишен киберриск за ползвателите или други лица. Такъв сериозен инцидент би могъл да включва ситуация, когато извършващият атаката успешно е въвел злонамерен код в канала, чрез който производителят предоставя на ползвателите актуализации за сигурност.

(69)

За да се гарантира, че нотификациите могат да се разпространяват бързо до всички съответни ЕРИКС, определени за координатори, и за да се даде възможност на производителите да подават една-единствена нотификация на всеки етап от процеса на нотифициране, ENISA следва да създаде единна платформа за докладване с национални крайни точки за електронно нотифициране. Ежедневните операции на единната платформа за докладване следва да се управляват и поддържат от ENISA. Определените за координатори ЕРИКС следва да информират съответните органи за надзор на пазара за уязвимостите или инцидентите, за които са подадени нотификации. Единната платформа за докладване следва да бъде проектирана по такъв начин, че да гарантира поверителността на нотификациите, по-специално по отношение на уязвимостите, за които все още не е налична актуализация за сигурност. Освен това ENISA следва да въведе процедури за обработване на информацията в условия на сигурност и поверителност. Въз основа на информацията, която е събрала, ENISA следва да изготвя двугодишен технически доклад за нововъзникващите тенденции по отношение на киберрисковете в продуктите с цифрови елементи и да го представя на групата за сътрудничество, създадена съгласно член 14 от Директива (ЕС) 2022/2555.

(70)

При изключителни обстоятелства и по-специално по искане на производителя определеният за координатор ЕРИКС, който първоначално получава нотификация, следва да може да реши да забави нейното разпространение до другите съответни ЕРИКС, определени за координатори, чрез единната платформа за докладване, когато това може да бъде обосновано от съображения, свързани с киберсигурността, и за период от време, който е строго необходим. Определеният за координатор ЕРИКС следва незабавно да информира ENISA за решението за забавяне и за неговите основания, както и кога възнамерява да продължи разпространението. Комисията следва да разработи чрез делегиран акт спецификации относно реда и условията за прилагане на основания, свързани с киберсигурността, и следва да си сътрудничи с мрежата на ЕРИКС, създадена съгласно член 15 от Директива (ЕС) 2022/2555, и с ENISA при изготвянето на проекта на делегиран акт. Примерите за основания, свързани с киберсигурността, включват текуща координирана процедура за оповестяване на уязвимости или ситуации, при които се очаква производителят скоро да предостави смекчаваща мярка и когато киберрисковете от незабавно разпространение чрез единната платформа за докладване надвишават неговите ползи. Ако определеният за координатор ЕРИКС поиска това, ENISA следва да може да подпомага този ЕРИКС при прилагането на основания, свързани с киберсигурността, във връзка със забавяне на разпространението на нотификацията въз основа на информацията, която ENISA е получила от посочения ЕРИКС, във връзка с решението за непредоставяне на нотификация относно тези основания, свързани с киберсигурността. Освен това при особено изключителни обстоятелства ENISA не следва да получава едновременно всички подробности за нотификация за активно използвана уязвимост. Такъв би бил случаят, когато производителят отбелязва в своята нотификация, че нотифицираната уязвимост е била активно използвана от злонамерен участник и че според наличната информация тя не е била използвана в никоя друга държава членка, различна от тази на определения за координатор ЕРИКС, на който производителят е нотифицирал уязвимостта, когато всяко незабавно по-нататъшно разпространение на нотифицираната уязвимост вероятно би довело до предоставянето на информация, чието разкриване би било в противоречие с основните интереси на посочената държава членка, или когато нотифицираната уязвимост съставлява непосредствен висок киберриск, произтичащ от по-нататъшното разпространение. В такива случаи ENISA ще получи само едновременен достъп до информацията, че е направена нотификация от производителя, обща информация за съответния продукт с цифрови елементи, информация за общия характер на експлойта и информация относно факта, че тези съображения за сигурност са били повдигнати от производителя и че поради това пълното съдържание на нотификацията не е било публикувано. След това пълната нотификация следва да се предостави на ENISA и на други определени за координатори относими ЕРИКС, когато определеният за координатор ЕРИКС, който първоначално получава нотификацията, установи, че тези основания за сигурност, отразяващи особено извънредните обстоятелства, установени в настоящия регламент, престават да съществуват. Когато въз основа на наличната информация ENISA счита, че съществува системен риск, засягащ сигурността на вътрешния пазар, ENISA следва да препоръча на получаващия ЕРИКС да разпространи пълната нотификация до другите определени за координатори ЕРИКС и до самата ENISA.

(71)

Когато производителите нотифицират активно използвана уязвимост или сериозен инцидент, оказващ въздействие върху сигурността на продукта с цифрови елементи, те следва да посочат до каква степен считат нотифицираната информация за чувствителна. Определеният за координатор ЕРИКС, който първоначално получава нотификацията, следва да вземе предвид тази информация, когато преценява дали нотификацията поражда извънредни обстоятелства, които оправдават забавяне на разпространението на уведомлението до другите съответни определени за координатори ЕРИКС, въз основа на обосновка, свързана с киберсигурността. Той следва също така да вземе предвид тази информация, когато преценява дали нотифицирането на активно използвана уязвимост поражда особено изключителни обстоятелства, които оправдават факта, че пълната нотификация не се предоставя едновременно на ENISA. И накрая, определените за координатори ЕРИКС следва да могат да вземат предвид тази информация, когато определят подходящи мерки за смекчаване на рисковете, произтичащи от такива уязвимости и инциденти.

(72)

За да се опрости докладването на информацията, изисквана съгласно настоящия регламент, като се вземат предвид други допълнителни изисквания за докладване, установени в правото на Съюза, като например Регламент (ЕС) 2016/679, Регламент (ЕС) 2022/2554 на Европейския парламент и на Съвета (25), Директива № 2002/58/ЕО на Европейския парламент и на Съвета (26) и Директива (ЕС) 2022/2555, както и за да се намали административната тежест за субектите, държавите членки се насърчават да обмислят възможността за предоставяне на национално равнище на единни входящи точки за такива изисквания за докладване. Използването на такива национални входящи точки за докладване на инциденти, свързани със сигурността, съгласно Регламент (ЕС) 2016/679 и Директива 2002/58/ЕО не следва да засяга прилагането на разпоредбите на Регламент (ЕС) 2016/679 и Директива 2002/58/ЕО, по-специално тези, свързани с независимостта на посочените в тях органи. При създаването на единната платформа за докладване, посочена в настоящия регламент, ENISA следва да вземе предвид възможността националните крайни точки за електронно нотифициране, посочени в настоящия регламент, да бъдат интегрирани в националните единни входни точки, които могат да включват и други нотификации, изисквани съгласно правото на Съюза.

(73)

При създаването на единната платформа за докладване, посочена в настоящия регламент, и за да се възползва от натрупания опит, ENISA следва да се консултира с други институции или агенции на Съюза, които управляват платформи или бази данни, подлежащи на строги изисквания за сигурност, като например Агенцията на Европейския съюз за оперативното управление на широкомащабни информационни системи в пространството на свобода, сигурност и правосъдие (eu-LISA). ENISA следва също така да анализира потенциално взаимно допълване с европейската база данни за уязвимости, създадена съгласно член 12, параграф 2 от Директива (ЕС) 2022/2555.

(74)

Производителите и другите физически и юридически лица следва да могат да уведомяват определения за координатор ЕРИКС или ENISA, на доброволна основа, за всяка уязвимост, съдържаща се в продукт с цифрови елементи, за киберзаплахи, които биха могли да засегнат рисковия профил на продукт с цифрови елементи, за всеки инцидент, който оказва въздействие върху сигурността на продукта с цифрови елементи, както и за ситуациите, близки до инциденти, които са могли да доведат до такъв инцидент.

(75)

Държавите членки следва да се стремят да вземат мерки, доколкото е възможно, срещу предизвикателствата, пред които са изправени изследователите в областта на уязвимостта, включително потенциалната опасност да им бъде търсена наказателна отговорност, в съответствие с националното право. Като се има предвид, че физическите и юридическите лица, които изследват уязвимости, биха могли в някои държави членки да бъдат изложени на наказателна и гражданска отговорност, държавите членки се насърчават да приемат насоки по отношение на отказа от наказателно преследване на изследователите в областта на информационната сигурност и освобождаването от гражданска отговорност за тези дейности.

(76)

Производителите на продукти с цифрови елементи следва да въведат политики за координирано оповестяване на уязвимости, за да улеснят докладването на уязвимости от физически или юридически лица или пряко на производителя, или непряко, а при поискване анонимно — чрез определените за координатори ЕРИКС за целите на координираното оповестяване на уязвимости в съответствие с член 12, параграф 1 от Директива (ЕС) 2022/2555. В политиката на производителите за координирано оповестяване на уязвимости следва да се посочи структуриран процес, чрез който уязвимостите се съобщават на производителя по начин, който му позволява да диагностицира и отстрани такива уязвимости, преди подробната информация за уязвимостите да бъде разкрита на трети страни или на обществеността. Освен това производителите следва също да обмислят публикуването на своите политики за сигурност в машинночетим формат. Предвид факта, че информацията за уязвимости, които могат да бъдат използвани в широко разпространени продукти с цифрови елементи, може да бъде продадена на високи цени на черния пазар, производителите на такива продукти следва да могат да използват програми, като част от своите политики за координирано оповестяване на уязвимости, за стимулиране на докладването на уязвимости, като гарантират, че физическите или юридическите лица получават признание и компенсация за усилията си. Това се отнася до т.нар. „програми за награда за откриване на уязвимости“.

(77)

За да се улесни анализът на уязвимостта, производителите следва да установят и документират компонентите, които се съдържат в продуктите с цифрови елементи, включително чрез изготвяне на опис на софтуерните компоненти. Опис на софтуерните компоненти може да предостави на тези, които произвеждат, купуват и работят със софтуер, информация, която подобрява разбирането им за веригата на доставките, което има множество предимства, като по-специално помага на производителите и ползвателите да проследяват нововъзникващи уязвимости и рискове за киберсигурността. Особено важно е производителите да гарантират, че техните продукти с цифрови елементи не съдържат уязвими компоненти, разработени от трети страни. Производителите не следва да бъдат задължени да публикуват описа на софтуерните компоненти.

(78)

При новите сложни бизнес модели, свързани с онлайн продажбите, дружество, което извършва дейност онлайн, може да предлага редица услуги. В зависимост от естеството на услугите, предоставяни във връзка с даден продукт с цифрови елементи, един и същ субект може да попада в различни категории бизнес модели или икономически оператори. Когато даден субект предоставя само посреднически онлайн услуги за даден продукт с цифрови елементи и е само доставчик на онлайн място за търговия съгласно определението в член 3, точка 14 от Регламент (ЕС) 2023/988, той не се счита за един от видовете икономически оператори, определени в настоящия регламент. Когато един и същ субект е доставчик на онлайн място за търговия и действа като икономически оператор съгласно определението в настоящия регламент за продажбата на конкретни продукти с цифрови елементи, той следва да подлежи на задълженията, посочени в настоящия регламент за този тип икономически оператори. Например, ако доставчикът на онлайн място за търговия разпространява и продукт с цифрови елементи, тогава по отношение на продажбата на посочения продукт той ще се счита за дистрибутор. По подобен начин, ако въпросният субект продава свои собствени маркови продукти с цифрови елементи, той ще се определя като производител и следователно ще трябва да спазва приложимите към производителите изисквания. Също така, някои субекти могат да се определят като доставчици на услуги за обработка на поръчки съгласно определението в член 3, точка 11 от Регламент (ЕС) 2019/1020 на Европейския парламент и на Съвета (27), ако предлагат такива услуги. Такива случаи ще трябва да бъдат преценявани поотделно. Като се има предвид важната роля на онлайн местата за търговия за създаването на условия за електронна търговия, те следва да се стремят да си сътрудничат с органите за надзор на пазара на държавите членки, за да се помогне за гарантиране на това продуктите с цифрови елементи, закупени чрез онлайн места за търговия, да отговарят на изискванията за киберсигурност, определени в настоящия регламент.

(79)

С цел да се улесни оценяването на съответствието с изискванията, определени в настоящия регламент, следва да има презумпция за съответствие за продукти с цифрови елементи, които са в съответствие с хармонизирани стандарти, които превръщат съществените изисквания за киберсигурност, определени в настоящия регламент, в подробни технически спецификации и които са приети в съответствие с Регламент (ЕС) № 1025/2012 на Европейския парламент и на Съвета (28). Посоченият регламент предвижда процедура за възражения срещу хармонизирани стандарти, когато тези стандарти не отговарят напълно на изискванията, установени в настоящия регламент. Процесът на стандартизация следва да гарантира балансирано представяне на интересите и ефективно участие на заинтересованите страни от гражданското общество, включително организациите на потребителите. Международните стандарти, които са в съответствие с нивото на киберзащита, предвидено в съществените изисквания за киберсигурност, определени в настоящия регламент, също следва да бъдат взети предвид, за да се улеснят разработването на хармонизирани стандарти и прилагането на настоящия регламент, както и за да се улесни спазването на изискванията от страна на дружествата, по-специално микропредприятията и малките и средните предприятия, както и тези, които извършват дейност в световен мащаб.

(80)

Навременното разработване на хармонизирани стандарти по време на преходния период за прилагането на настоящия регламент и тяхната наличност преди датата на прилагане на настоящия регламент ще бъде от особено значение за ефективното му прилагане. Такъв е по-специално случаят с важни продукти с цифрови елементи, които попадат в клас I. Наличието на хармонизирани стандарти ще даде възможност на производителите на такива продукти да извършват оценките на съответствието чрез процедурата за вътрешен контрол и следователно така могат да се избегнат затруднения и забавяния в дейностите на органите за оценяване на съответствието.

(81)

С Регламент (ЕС) 2019/881 се създава доброволна Европейска рамка за сертифициране на киберсигурността на продукти в областта на ИКТ, процеси в областта на ИКТ и услуги в областта на ИКТ. Европейските схеми за сертифициране на киберсигурността осигуряват обща рамка на доверие, за да могат потребителите да използват продуктите с цифрови елементи, които попадат в обхвата на настоящия регламент. Ето защо следва да бъдат създадени полезни взаимодействия между настоящия регламент и Регламент (ЕС) 2019/881. С цел да се улесни оценяването на съответствието с изискванията, определени в настоящия регламент, за продуктите с цифрови елементи, които са сертифицирани или за които е издадена декларация за съответствие по европейска схема за киберсигурност съгласно Регламент (ЕС) 2019/881 и които са били определени от Комисията в акт за изпълнение, се приема, че съответстват на съществените изисквания за киберсигурност, определени в настоящия регламент, доколкото европейският сертификат за киберсигурност или декларацията за съответствие, или части от тях покриват тези изисквания. Необходимостта от нови европейски схеми за сертифициране на киберсигурността за продукти с цифрови елементи следва да бъде оценена с оглед на настоящия регламент, включително при подготовката на непрекъснатата работна програма на Съюза в съответствие с Регламент (ЕС) 2019/881. Когато е необходима нова схема, обхващаща продукти с цифрови елементи, включително за да се улесни спазването на настоящия регламент, Комисията може да поиска от ENISA да изготви проекти за схеми в съответствие с член 48 от Регламент (ЕС) 2019/881. Такива бъдещи европейски схеми за сертифициране на киберсигурността, които обхващат продукти с цифрови елементи, следва да отчитат съществените изисквания за киберсигурност и процедурите за оценяване на съответствието, както са определени в настоящия регламент, и да улесняват съответствието с него. За европейските схеми за сертифициране на киберсигурността, които влизат в сила преди влизането в сила на настоящия регламент, може да са необходими допълнителни спецификации относно подробните аспекти на начина, по който може да се прилага презумпцията за съответствие. На Комисията следва да бъде предоставено правомощието да определи чрез делегирани актове при какви условия европейските схеми за сертифициране на киберсигурността могат да се използват за доказване на съответствие със съществените изисквания за киберсигурност, определени в настоящия регламент. Освен това, за да се избегне ненужна административна тежест, не следва да има задължение за производителите да извършват оценка на съответствието от трета страна, както е предвидено в настоящия регламент за съответните изисквания, когато съгласно такива европейски схеми за сертифициране на киберсигурността е издаден европейски сертификат за киберсигурност поне с ниво на увереност „съществено“.

(82)

След влизането в сила на Регламент за изпълнение (ЕС) 2024/482, който се отнася до продукти, които попадат в обхвата на настоящия регламент, като например хардуерни модули за сигурност и микропроцесори, Комисията следва да може да уточни чрез делегиран акт по какъв начин ЕССК предоставя презумпция за съответствие със съществените изисквания за киберсигурност, определени в настоящия регламент, или с части от тях. Освен това в такъв делегиран акт може да се уточни по какъв начин сертификат, издаден съгласно ЕССК, премахва задължението за производителите да извършват изискваната съгласно настоящия регламент оценка от трета страна за съответните изисквания.

(83)

Настоящата европейска рамка за стандартизация, която се основава на принципите на т.нар. „нов подход“, посочени в резолюцията на Съвета от 7 май 1985 г. относно нов подход за техническа хармонизация и стандарти, и на Регламент (ЕС) № 1025/2012, представлява по подразбиране рамката за разработване на стандарти, които осигуряват презумпция за съответствие с приложимите съществени изисквания за киберсигурност, определени в настоящия регламент. Европейските стандарти следва да се определят от потребностите на пазара, да отчитат обществения интерес, както и целите на политиките, ясно посочени в искането на Комисията до една или няколко европейски организации за стандартизация да изготвят хармонизирани стандарти, в определен срок, и следва да се основават на консенсус. При липса обаче на публикуване на данните за съответни хармонизирани стандарти Комисията следва да може да приема актове за изпълнение за определяне на общи спецификации за съществените изисквания за киберсигурност, определени в настоящия регламент, при условие че при това надлежно зачита ролята и функциите на европейските организации за стандартизация, като резервно решение по изключение за улесняване на задължението на производителя да спазва тези съществени изисквания за киберсигурност, когато процесът по стандартизация е блокиран или когато има забавяне при създаването на подходящи хармонизирани стандарти. В случай че забавянето се дължи на техническата сложност на стандарта, това следва да се вземе предвид от Комисията, преди да се обмисля дали да бъдат определени общи спецификации.

(84)

С оглед на определянето по най-ефикасен начин на общи спецификации, които обхващат съществените изисквания за киберсигурност, определени в настоящия регламент, Комисията следва да включи в процеса съответните заинтересовани лица.

(85)

„Разумен срок“, във връзка с публикуването на данните за хармонизираните стандарти в Официален вестник на Европейския съюз в съответствие с Регламент (ЕС) № 1025/2012, има значението на срок, в рамките на който се очаква публикуването в Официален вестник на Европейския съюз на данните за стандарта, на неговата поправка или на изменението му и който не следва да надвишава една година след крайния срок за изготвяне на европейски стандарт, определен в съответствие с Регламент (ЕС) № 1025/2012.

(86)

С цел да се улесни оценяването на съответствието със съществените изисквания за киберсигурност, определени в настоящия регламент, следва да има презумпция за съответствие за продуктите с цифрови елементи, които са в съответствие с общите спецификации, приети от Комисията съгласно настоящия регламент за целите на представянето на подробни технически спецификации на тези изисквания.

(87)

Прилагането на хармонизирани стандарти, общи спецификации или европейски схеми за сертифициране на киберсигурността, приети съгласно Регламент (ЕС) 2019/881, осигуряващи презумпция за съответствие по отношение на съществените изисквания за киберсигурност, приложими за продукти с цифрови елементи, ще улесни оценяването на съответствието от страна на производителите. Ако производителят избере да не прилага такива средства за определени изисквания, той трябва да посочи в техническата си документация как по друг начин се постига съответствието. Освен това прилагането на хармонизирани стандарти, общи спецификации или европейски схеми за сертифициране на киберсигурността, приети съгласно Регламент (ЕС) 2019/881, които осигуряват презумпция за съответствие от страна на производителите, би улеснило проверката на съответствието на продуктите с цифрови елементи от страна на органите за надзор на пазара. Поради това производителите на продукти с цифрови елементи се насърчават да прилагат такива хармонизирани стандарти, общи спецификации или европейски схеми за сертифициране на киберсигурността.

(88)

Производителите следва да изготвят ЕС декларация за съответствие, за да предоставят изискваната съгласно настоящия регламент информация относно съответствието на продуктите с цифрови елементи със съществените изисквания за киберсигурност, определени в настоящия регламент и, когато е приложимо, на другото приложимо законодателство на Съюза за хармонизация, което обхваща продукта с цифрови елементи. От производителите може също така да се изисква да изготвят ЕС декларация за съответствие съгласно други правни актове на Съюза. За да се гарантира ефективен достъп до информация за целите на надзора на пазара, следва да се изработи единна ЕС декларация за съответствие за всички съответни правни актове на Съюза. За да се намали административната тежест за икономическите оператори, следва да е възможно тази единна ЕС декларация за съответствие да представлява досие, включващо относимите отделни декларации за съответствие.

(89)

Маркировката „СЕ“, указваща съответствието на продукта, е видимата последица от цял един процес, включващ оценяване на съответствието в широк смисъл. Основните принципи относно маркировката „СЕ“ са установени в Регламент (ЕО) № 765/2008 на Европейския парламент и на Съвета (29). Правилата за нанасяне на маркировката „СЕ“ върху продукти с цифрови елементи следва да бъдат определени в настоящия регламент. Маркировката „CE“ следва да бъде единствената маркировка, гарантираща съответствието на продуктите с цифрови елементи с изискванията, посочени в настоящия регламент.

(90)

За да се даде възможност на икономическите оператори да докажат съответствието си със съществените изисквания за киберсигурност, определени в настоящия регламент, както и за да се даде възможност на органите за надзор на пазара да гарантират, че предлаганите на пазара продукти с цифрови елементи отговарят на тези изисквания, е необходимо да се предвидят процедури за оценяване на съответствието. В Решение № 768/2008/ЕО на Европейския парламент и на Съвета (30) са установени модули за процедури за оценяване на съответствието, пропорционални на нивото на риска и на изискваното ниво на сигурност. За да се осигури междусекторна съгласуваност и да се избегнат допълнителни варианти, процедурите за оценяване на съответствието, подходящи за проверка на съответствието на продуктите с цифрови елементи със съществените изисквания за киберсигурност, определени в настоящия регламент, следва да се основават на тези модули. Процедурите за оценяване на съответствието следва да разглеждат и проверяват както свързаните с продукта, така и с процеса изисквания, обхващащи целия жизнен цикъл на продуктите с цифрови елементи, включително планирането, проектирането, разработването или производството, изпитването и поддръжката на продукта с цифрови елементи.

(91)

Оценяването на съответствието на продукти с цифрови елементи, които не са изброени като важни или критични продукти с цифрови елементи в настоящия регламент, може да се извършва от производителя на негова отговорност като се следва процедурата за вътрешен контрол, основана на модул А от Решение № 768/2008/ЕО в съответствие с настоящия регламент. Това се прилага и в случаите, когато производител избере да не прилага изцяло или частично приложим хармонизиран стандарт, обща спецификация или европейска схема за сертифициране на киберсигурността. Производителят запазва гъвкавостта си да избере по-строга процедура за оценяване на съответствието с участието на трета страна. Съгласно процедурата за оценяване на съответствието за вътрешен контрол производителят гарантира и декларира на своя отговорност, че продуктът с цифрови елементи и процесите на производителя отговарят на приложимите съществени изисквания за киберсигурност, определени в настоящия регламент. Ако важен продукт с цифрови елементи е класифициран в клас I, се изисква допълнителна гаранция за доказване на съответствието със съществените изисквания за киберсигурност, определени в настоящия регламент. Производителят следва да прилага хармонизирани стандарти, общи спецификации или европейски схеми за сертифициране на киберсигурността, приети съгласно Регламент (ЕС) 2019/881, които са били посочени от Комисията в акт за изпълнение, ако иска да извърши оценяване на съответствието на своя отговорност (модул А). Ако производителят не прилага такива хармонизирани стандарти, общи спецификации или европейски схеми за сертифициране на киберсигурността, той следва да извърши оценяване на съответствието с участието на трета страна (въз основа на модули В и С или модул H). Като се има предвид административната тежест за производителите и фактът, че киберсигурността играе важна роля в етапа на проектиране и разработване на материални и нематериални продукти с цифрови елементи, процедурите за оценяване на съответствието, основани на модули В и С или модул H от Решение № 768/2008/ЕО, бяха избрани като най-подходящи за оценяване на съответствието на важни продукти с цифрови елементи по пропорционален и ефективен начин. Производителят, който извършва оценяване на съответствието от трета страна, може да избере процедурата, която най-добре отговаря на неговия процес на проектиране и производство. Като се има предвид още по-големият киберриск, свързан с използването на важни продукти с цифрови елементи, които попадат в клас II, оценяването на съответствието следва винаги да включва трета страна, дори когато продуктът отговаря изцяло или частично на хармонизирани стандарти, общи спецификации или европейски схеми за сертифициране на киберсигурността. Производителите на важни продукти с цифрови елементи, квалифицирани като свободен софтуер с отворен код, следва да могат да следват процедурата за вътрешен контрол въз основа на модул А, при условие че предоставят техническата документация на разположение на обществеността.

(92)

Докато създаването на материални продукти с цифрови елементи обикновено изисква от производителите да положат значителни усилия през етапите на проектиране, разработване и производство, създаването на продукти с цифрови елементи под формата на софтуер се съсредоточава почти изключително върху проектирането и разработването, а етапът на производство играе второстепенна роля. Въпреки това в много случаи софтуерните продукти все още трябва да бъдат компилирани, създадени, пакетирани, предоставени за изтегляне или копирани на физически носител, преди да бъдат пуснати на пазара. Тези дейности следва да се разглеждат като дейности, равностойни на производство, когато се прилагат съответните модули за оценяване на съответствието, за да се провери съответствието на продукта със съществените изисквания за киберсигурност, определени в настоящия регламент, през етапите на проектиране, разработване и производство.

(93)

По отношение на микропредприятията и малките предприятия, за да се гарантира пропорционалност, е целесъобразно да се намалят административните разходи, без да се засягат нивото на защита на киберсигурността на продуктите с цифрови елементи, които попадат в обхвата на настоящия регламент, или еднаквите условия на конкуренция между производителите. Поради това е целесъобразно Комисията да установи опростен формуляр за техническа документация, насочен към нуждите на микропредприятията и малките предприятия. Опростеният формуляр за техническа документация, приет от Комисията, следва да обхваща всички приложими елементи, свързани с техническата документация, определени в настоящия регламент, и да посочва как дадено микропредприятие или малко предприятие може да предостави исканите елементи в сбита форма, като например описанието на проектирането, разработването и производството на продукта с цифрови елементи. По този начин формулярът ще допринесе за облекчаване на административната тежест за привеждане в съответствие, като предостави на засегнатите предприятия правна сигурност относно обхвата и подробностите на информацията, която трябва да бъде предоставена. Микропредприятията и малките предприятия следва да могат да изберат да предоставят в подробен вид приложимите елементи, свързани с техническата документация, и да не се възползват от опростения формуляр за техническата документация, който е на тяхно разположение.

(94)

За да се насърчават и защитават иновациите, е важно да се обърне специално внимание на интересите на производителите, които са микропредприятия или малки или средни предприятия, и по-специално микропредприятия и малки предприятия, включително новосъздадени предприятия. За тази цел държавите членки биха могли да разработят инициативи, насочени към производителите, които са микропредприятия или малки предприятия, включително относно обучението, повишаването на осведомеността, съобщаването на информация, изпитването и дейностите по оценяване на съответствието от трета страна, както и създаването на регулаторни лаборатории. Разходите за превод, свързани със задължителната документация, като например техническата документация и информацията и инструкциите за ползвателя, изисквани съгласно настоящия регламент, както и комуникацията с органите, могат да съставляват значителен разход за производителите, по-специално за тези с по-малък размер. Ето защо държавите членки следва да могат да приемат, че един от езиците, определени и приети от тях за съответната документация на производителите и за комуникация с производителите, е език, който в значителна степен се разбира от възможно най-голям брой ползватели.

(95)

За да се гарантира безпроблемното прилагане на настоящия регламент, държавите членки следва да се стремят да гарантират, преди датата на прилагане на настоящия регламент, че е налице достатъчен брой нотифицирани органи за извършване на оценки на съответствието от трета страна. Комисията следва да се стреми да подпомага държавите членки и други относими страни в това начинание, за да се избегнат затруднения и пречки пред производителите за навлизането на пазара. Целенасочените дейности за обучение, ръководени от държавите членки, включително, когато е целесъобразно, с подкрепата на Комисията, могат да допринесат за наличието на квалифицирани специалисти, включително в подкрепа на дейностите на нотифицираните органи съгласно настоящия регламент. Освен това, като се имат предвид разходите, до които може да доведе оценяването на съответствието от трета страна, следва да се обмислят инициативи за финансиране на равнището на Съюза и на национално равнище, които имат за цел да намалят тези разходи за микропредприятията и малките предприятия.

(96)

За да се гарантира пропорционалност, при определянето на таксите за процедурите за оценяване на съответствието органите за оценяване на съответствието следва да вземат предвид специфичните интереси и нужди на микропредприятията и малките и средните предприятия, включително новосъздадените предприятия. По-специално органите за оценяване на съответствието следва да прилагат съответната процедура по разглеждане и изпитвания, предвидена в настоящия регламент, само когато е целесъобразно и като следват основан на риска подход.

(97)

Целите на регулаторните лаборатории следва да бъдат насърчаване на иновациите и конкурентоспособността на предприятията чрез създаване на контролирана среда за изпитване преди пускането на пазара на продукти с цифрови елементи. Регулаторните лаборатории следва да допринесат за подобряване на правната сигурност за всички участници, които попадат в обхвата на настоящия регламент, и за улесняване и ускоряване на достъпа до пазара на Съюза за продукти с цифрови елементи, по-специално когато се предоставят от микропредприятия и малки предприятия, включително новосъздадени предприятия.

(98)

С цел извършване на оценяване на съответствието на продукти с цифрови елементи от трета страна, националните нотифициращи органи следва да уведомят Комисията и другите държави членки за органите за оценяване на съответствието, при условие че те отговарят на набор от изисквания, по-специално за независимост, компетентност и липса на конфликт на интереси.

(99)

С цел осигуряване на сходно ниво на качеството при оценяването на съответствието на продукти с цифрови елементи, е необходимо също така да се определят изискванията за нотифициращите органи и другите органи, участващи в оценяването, нотифицирането и наблюдението на нотифицираните органи. Системата, установена в настоящия регламент, следва да се допълни със системата за акредитация, предвидена в Регламент (ЕО) № 765/2008. Тъй като акредитацията е важно средство за проверка на компетентността на органите за оценяване на съответствието, тя също следва да бъде използвана за целите на нотифицирането.

(100)

Органите за оценяване на съответствието, които са акредитирани и нотифицирани съгласно правото на Съюза, с което се определят изисквания, подобни на предвидените в настоящия регламент, като например орган за оценяване на съответствието, който е нотифициран за европейска схема за сертифициране на киберсигурността, приета съгласно Регламент (ЕС) 2019/881, или нотифицирани съгласно Делегиран регламент (ЕС) 2022/30, следва да бъдат оценени и нотифицирани съгласно настоящия регламент. Съответните органи обаче могат да определят полезни взаимодействия по отношение на всички припокриващи се изисквания, за да се предотврати ненужна финансова и административна тежест и да се гарантира гладък и навременен процес на нотифициране.

(101)

Прозрачната акредитация, предвидена в Регламент (ЕО) № 765/2008, осигуряваща необходимото ниво на доверие в сертификатите за съответствие, следва да се разглежда от националните органи на публичната власт в целия Съюз като предпочитано средство за доказване на техническата компетентност на органите за оценяване на съответствието. Въпреки това, националните органи могат да счетат, че притежават подходящите средства сами да извършват тази оценка. В такива случаи, с цел да се гарантира подходящото ниво на доверие в оценките, извършвани от други национални органи, те следва да предоставят на Комисията и на другите държави членки необходимите документи, доказващи съответствието на оценените органи за оценяване на съответствието с приложимите регулаторни изисквания.

(102)

Органите за оценяване на съответствието често възлагат части от своите дейности, свързани с оценяването на съответствието, на подизпълнители, или използват свои поделения за тази цел. С цел запазване нивото на защита, изисквано за продукт с цифрови елементи, който се пуска на пазара, е от съществено значение подизпълнителите и поделенията, извършващи оценяване на съответствието, да отговарят на същите изисквания като нотифицираните органи във връзка с изпълнението на задачи по оценяване на съответствието.

(103)

Уведомлението за орган за оценяване на съответствието следва да бъде изпратено от нотифициращия орган до Комисията и другите държави членки чрез информационната система NANDO (информационна система за нотифицираните и определените организации по Новия подход). Информационната система NANDO е средство за електронно нотифициране, разработено и управлявано от Комисията, в което може да се намери списък на всички нотифицирани органи.

(104)

Тъй като нотифицираните органи могат да предлагат своите услуги в целия Съюз, е целесъобразно да се даде възможност на другите държави членки и на Комисията да повдигат възражения относно нотифициран орган. Следователно е важно да се определи срок, през който всякакви съмнения или съображения относно компетентността на органите за оценяване на съответствието да бъдат изяснени, преди те да започнат да функционират като нотифицирани органи.

(105)

В интерес на конкурентоспособността е от съществено значение нотифицираните органи да прилагат процедурите за оценяване на съответствието, без да се създава ненужна тежест за икономическите оператори. По същата причина, както и за да се гарантира еднаквото третиране на икономическите оператори, трябва да се осигури съответствие в техническото прилагане на процедурите за оценяване на съответствието. Това следва да се постигне най-добре посредством съответната координация и сътрудничество между нотифицираните органи.

(106)

Надзорът на пазара е основно средство при осигуряването на правилно и еднакво прилагане на правото на Съюза. Следователно е необходимо да се създаде правната рамка, в която този надзор ще може да бъде провеждан ефективно. Правилата на Съюза за надзор на пазара и контрол на продуктите, които се въвеждат на пазара на Съюза, предвидени в Регламент (ЕС) 2019/1020, се прилагат за продуктите с цифрови елементи, които попадат в обхвата на настоящия регламент.

(107)

В съответствие с Регламент (ЕС) 2019/1020 орган за надзор на пазара осъществява надзор на пазара на територията на държавата членка, която го определя. Настоящият регламент следва да не възпрепятства държавите членки при избора на компетентни органи за изпълнение на задачите по надзор на пазара. Всяка държава членка следва да определи един или повече органи за надзор на пазара на своята територия. Държавите членки следва да могат да изберат да определят всеки съществуващ или нов орган, който да действа като орган за надзор на пазара, включително компетентни органи, определени или създадени съгласно член 8 от Директива (ЕС) 2022/2555, национални органи за сертифициране на киберсигурността, определени съгласно член 58 от Регламент (ЕС) 2019/881, или органи за надзор на пазара, определени за целите на Директива 2014/53/ЕС. Икономическите оператори следва да си сътрудничат изцяло с органите за надзор на пазара и с други компетентни органи. Всяка държава членка следва да информира Комисията и другите държави членки за своите органи за надзор на пазара и за областите на компетентност на всеки от тези органи, както и да осигури необходимите ресурси и умения за изпълнение на задачите по надзора на пазара, свързани с настоящия регламент. Съгласно член 10, параграфи 2 и 3 от Регламент (ЕС) 2019/1020 всяка държава членка следва да определи единна служба за връзка, което следва да отговаря, наред с другото, за представянето на съгласуваната позиция на органите за надзор на пазара и за подпомагането на сътрудничеството между органите за надзор на пазара в различните държави членки.

(108)

Следва да бъде създадена ADCO група за киберустойчивостта на продукти с цифрови елементи за еднакво прилагане на настоящия регламент в съответствие с член 30, параграф 2 от Регламент (ЕС) 2019/1020. ADCO групата следва да бъде съставена от представители на определените органи за надзор на пазара и, ако е целесъобразно, от представители на единните служби за връзка. Комисията следва да подкрепя и насърчава сътрудничеството между органите за надзор на пазара чрез Мрежата на Съюза за съответствието на продуктите, създадена съгласно член 29 от Регламент (ЕС) 2019/1020 и състояща се от представители на всяка държава членка, включително представител на всяка единна служба за връзка, както е посочена в член 10 от същия регламент, и национален експерт по избор, председателите на ADCO групи и представители на Комисията. Комисията следва да участва в заседанията на Мрежата на Съюза за съответствието на продуктите, нейните подгрупи и ADCO групата. Тя следва също така да подпомага ADCO групата чрез изпълнителен секретариат, който да осигурява техническа и логистична подкрепа. ADCO групата може също така да кани независими експерти да участват и да поддържат връзка с други ADCO групи, като например създадената съгласно Директива 2014/53/ЕС.

(109)

Органите за надзор на пазара, чрез създадената съгласно настоящия регламент ADCO група, следва да си сътрудничат тясно и следва да могат да разработват документи с насоки за улесняване на дейностите по надзор на пазара на национално равнище, например чрез разработване на най-добри практики и показатели за ефективна проверка на съответствието на продуктите с цифрови елементи с настоящия регламент.

(110)

С цел да се осигурят навременни, пропорционални и ефективни мерки по отношение на продуктите с цифрови елементи, представляващи значителен киберриск, следва да се предвиди предпазна процедура на Съюза, в рамките на която заинтересованите страни да бъдат информирани за мерките, които се планира да бъдат предприети по отношение на такива продукти. Вследствие на това също така органите за надзор на пазара ще могат, в сътрудничество със съответните икономически оператори, да предприемат действия на по-ранен етап, когато това е необходимо. Когато между държавите членки и Комисията е постигнато съгласие по отношение на основателността на мярка, предприета от дадена държава членка, не следва да се изисква допълнителна намеса на Комисията, освен когато несъответствието се дължи на недостатъци на хармонизиран стандарт.

(111)

В определени случаи даден продукт с цифрови елементи, който е в съответствие с настоящия регламент, може въпреки това да представлява значителен киберриск или риск за здравето или безопасността на хората, за спазването на задълженията по правото на Съюза или националното право, предназначени за защита на основните права, за достъпността, автентичността, целостта или поверителността на услугите, предлагани чрез електронна информационна система от съществени субекти, както са посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555, или за други аспекти на опазването на обществения интерес. Поради това е необходимо да се установят правила, които да гарантират намаляването на тези рискове. В резултат на това органите за надзор на пазара следва да предприемат мерки, с които да изискат от икономическия оператор да гарантира, че продуктът вече не представлява този риск, или да го изземе, или да го изтегли, в зависимост от риска. След като орган за надзор на пазара ограничи или забрани свободното движение на продукт с цифрови елементи по такъв начин, държавата членка следва незабавно да уведоми Комисията и другите държави членки за временните мерки, като посочи причините и основанията за решението. Когато орган за надзор на пазара приема такива мерки срещу продукти с цифрови елементи, представляващи риск, Комисията следва незабавно да започне консултации с държавите членки и със съответния(те) икономически оператор(и) и да извърши оценка на националната мярка. Въз основа на резултатите от тази оценка Комисията следва да взема решение дали националната мярка е оправдана или не. Комисията следва да адресира решението си до всички държави членки и да го съобщи незабавно на тях и на съответния(те) икономически оператор(и). Ако мярката бъде счетена за обоснована, Комисията следва също така да обмисли дали да приеме предложения за преразглеждане на относимото право на Съюза.

(112)

По отношение на продукти с цифрови елементи, представляващи значителен киберриск, и когато има основание да се смята, че те не са в съответствие с настоящия регламент, или по отношение на продукти, които са в съответствие с настоящия регламент, но представляват други съществени рискове, като например рискове за здравето или безопасността на хората, за спазването на задължения съгласно правото на Съюза или националното право, целящи защитата на основните права, или за наличността, автентичността, целостта или поверителността на услуги, предоставяни чрез електронна информационна система от съществени субекти, посочени в член 3, параграф 1 от Директива (ЕС) 2022/2555, Комисията следва да може да поиска от ENISA да извърши оценка. Въз основа на тази оценка Комисията следва да може да приеме, посредством актове за изпълнение, корективни или ограничителни мерки на равнището на Съюза, включително с изискване засегнатите продукти с цифрови елементи да бъдат изтеглени от пазара или иззети, в разумен срок, съобразен с естеството на риска. Комисията следва да може да прибягва до такава намеса само при извънредни обстоятелства, които оправдават незабавна намеса за запазване на правилното функциониране на вътрешния пазар, и само когато органите за надзор на пазара не са предприели ефективни мерки за коригиране на ситуацията. Такива извънредни обстоятелства могат да бъдат извънредни ситуации, когато например несъответстващ на изискванията продукт с цифрови елементи е широко предлаган от производителя в няколко държави членки, използва се също така в ключови сектори от субекти, които попадат в обхвата на Директива (ЕС) 2022/2555, като същевременно съдържа известни уязвимости, които се използват от злонамерени участници и за които производителят не предоставя налични корекции. Комисията следва да може да се намесва в такива извънредни ситуации само за периода на извънредните обстоятелства и ако несъответствието с настоящия регламент или наличните съществени рискове продължават да съществуват.

(113)

Когато има признаци за неспазване на настоящия регламент в няколко държави членки, органите за надзор на пазара следва да могат да извършват съвместни дейности с други органи с цел проверка на съответствието и установяване на киберрисковете на продуктите с цифрови елементи.

(114)

Едновременните координирани действия за контрол („мащабни проверки“) са специфични правоприлагащи действия от органите за надзор на пазара, които могат допълнително да повишат сигурността на продуктите. Мащабните проверки следва да се провеждат по-специално в случаите, когато пазарни тенденции, жалби на потребителите или други признаци сочат, че определени категории продукти с цифрови елементи често са свързани с киберрискове. Освен това при определянето на категориите продукти, които да бъдат обект на мащабни проверки, органите за надзор на пазара следва също така да вземат предвид обстоятелствата, свързани с нетехнически рискови фактори. За тази цел органите за надзор на пазара следва да могат да вземат предвид резултатите от координираните на равнището на Съюза оценки на риска за сигурността на веригите на критични доставки, извършени в съответствие с член 22 от Директива (ЕС) 2022/2555, включително обстоятелства, свързани с нетехнически рискови фактори. ENISA следва да представя на органите за надзор на пазара предложения за категории продукти с цифрови елементи, за които могат да бъдат организирани мащабни проверки, като тези предложения се изготвят, наред с другото, въз основа на получените уведомления за уязвимости и инциденти с продукти.

(115)

Като се имат предвид нейният експертен опит и мандат, ENISA следва да може да подкрепя процеса по правоприлагането на настоящия регламент. По-специално, ENISA следва да може да предлага съвместни дейности, които да бъдат провеждани от органите за надзор на пазара въз основа на признаци или информация относно потенциално несъответствие с настоящия регламент на продукти с цифрови елементи в няколко държави членки, или да определя категориите продукти, за които следва да се организират мащабни проверки. При извънредни обстоятелства ENISA следва да може да извършва по искане на Комисията оценки по отношение на конкретни продукти с цифрови елементи, които представляват значителен киберриск, когато е необходима незабавна намеса за запазване на правилното функциониране на вътрешния пазар.

(116)

С настоящия регламент на ENISA се възлагат определени задачи, които изискват подходящи ресурси от гледна точка на експертен опит и на човешки ресурси, за да може ENISA да изпълнява ефективно тези задачи. При изготвянето на проекта за общ бюджет на Съюза Комисията ще предложи бюджетните средства, необходими за щатното разписание на ENISA, в съответствие с процедурата, посочена в член 29 от Регламент (ЕС) 2019/881. По време на тази процедура Комисията ще разгледа общите ресурси на ENISA, за да може тя да изпълнява своите задачи, включително задачите, които са ѝ възложени съгласно настоящия регламент.

(117)

С цел да се гарантира, че регулаторната рамка може да бъде адаптирана, когато е необходимо, на Комисията следва да бъде предоставено правомощието да приема актове в съответствие с член 290 от Договора за функционирането на Европейския съюз (ДФЕС) за актуализиране на приложение към настоящия регламент, съдържащо списък с важните продукти с цифрови елементи. На Комисията следва да бъде предоставено правомощието да приема актове в съответствие с посочения член за определянето на продукти с цифрови елементи, обхванати от други правила на Съюза, които постигат същото ниво на защита като настоящия регламент, като в тях бъде уточнено дали ще е необходимо ограничение или изключване от обхвата на настоящия регламент, както и обхватът на това ограничение, ако е приложимо. На Комисията следва също така да бъде предоставено правомощието да приема актове в съответствие с посочения член във връзка с евентуалното въвеждане на задължение за сертифициране по европейска схема за сертифициране на киберсигурността за продукти с цифрови елементи и с висока степен на критичност, посочени в приложение към настоящия регламент, както и за актуализиране на списъка на продукти с цифрови елементи с висока степен на критичност въз основа на критериите за критичност, определени в настоящия регламент, и за уточняване на европейските схеми за сертифициране на киберсигурността, приети съгласно Регламент (ЕС) 2019/881, които могат да се използват за доказване на съответствие със съществените изисквания за киберсигурност или с части от тях, посочени в приложение към настоящия регламент.На Комисията следва също така да бъде делегирано правомощието да приема актове за определяне на минималния период на поддръжка за конкретни категории продукти, когато данните от надзора на пазара предполагат неподходящи периоди на поддръжка, както и за определяне на реда и условията за прилагане на основанията, свързани с киберсигурността, във връзка със забавянето на разпространението на уведомления за активно използвани уязвимости. Освен това на Комисията следва да бъде делегирано правомощието да приема актове за създаване на доброволни програми за удостоверяване на сигурността за оценяване на съответствието на продукти с цифрови елементи, отговарящи на критериите за свободен софтуер с отворен код, с всички или с определени съществени изисквания за киберсигурност или други задължения, предвидени в настоящия регламент, както и за определяне на минималното съдържание на ЕС декларацията за съответствие и за допълване на елементите, които трябва да бъдат включени в техническата документация. От особена важност е по време на подготвителната си работа Комисията да проведе подходящи консултации, включително на експертно равнище, и тези консултации да се проведат в съответствие с принципите, залегнали в Междуинституционалното споразумение от 13 април 2016 г. за по-добро законотворчество (31). По-специално, с цел осигуряване на равно участие при подготовката на делегираните актове, Европейският парламент и Съветът получават всички документи едновременно с експертите от държавите членки, като техните експерти получават систематично достъп до заседанията на експертните групи на Комисията, занимаващи се с подготовката на делегираните актове. Правомощието да приема делегирани актове съгласно настоящия регламент следва да бъде предоставено на Комисията за срок от пет години, считано от 10 декември 2024 г. Комисията следва да изготви доклад относно делегирането на правомощия не по-късно от девет месеца преди изтичането на петгодишния срок. Делегирането на правомощия следва да се продължава мълчаливо за срокове с еднаква продължителност, освен ако Европейският парламент или Съветът не възразят срещу подобно продължаване не по-късно от три месеца преди изтичането на всеки срок.

(118)

За да се гарантират еднакви условия за изпълнение на настоящия регламент, на Комисията следва да бъдат предоставени изпълнителни правомощия да определя техническото описание на категориите важни продукти с цифрови елементи, посочени в приложение към настоящия регламент, да уточнява формата и елементите на описа на софтуерните компоненти, да определя допълнително формата и процедурата за уведомленията относно активно използвани уязвимости и сериозни инциденти, които оказват въздействие върху сигурността на продуктите с цифрови елементи, представени от производителите, да установява общи спецификации, обхващащи техническите изисквания, които осигуряват средство за постигане на съответствие със съществените изисквания за киберсигурност, определени в приложение към настоящия регламент, да определя техническите спецификации за етикети, пиктограми или всякакви други знаци, свързани със сигурността на продуктите с цифрови елементи, техния период на поддръжка и механизмите за насърчаване на тяхното използване и за повишаване на обществената осведоменост относно сигурността на продуктите с цифрови елементи, да определя опростената форма на документацията, насочена към нуждите на микропредприятията и малките предприятия, и да взема решения за корективни или ограничителни мерки на равнището на Съюза при извънредни обстоятелства, които оправдават незабавна намеса за запазване на правилното функциониране на вътрешния пазар. Тези правомощия следва да бъдат упражнявани в съответствие с Регламент (ЕС) № 182/2011 на Европейския парламент и на Съвета (32).

(119)

За да се гарантира основано на доверие и конструктивно сътрудничество между органите за надзор на пазара на равнището на Съюза и на национално равнище, всички страни, участващи в прилагането на настоящия регламент, следва да зачитат поверителността на информацията и данните, получавани при изпълнението на техните задачи.

(120)

За да се гарантира ефективното прилагане на предвидените съгласно настоящия регламент задължения, всеки компетентен орган за надзор на пазара следва да разполага с правомощието да налага или да изисква налагането на административни глоби. Поради това следва да бъдат определени максимални размери на административните глоби, които да бъдат предвидени в националното законодателство при неспазване на задълженията, предвидени в настоящия регламент. При вземането на решение относно размера на административната глоба във всеки отделен случай следва да се вземат предвид всички обстоятелства от значение за конкретната ситуация, и най-малкото тези, които са изрично установени в настоящия регламент, включително дали производителят е микропредприятие или малко или средно предприятие, включително новосъздадено предприятие, и дали същите или други органи за надзор на пазара вече са налагали административни глоби на същия икономически оператор за подобни нарушения. Такива обстоятелства биха могли да бъдат утежняващи, когато нарушението на същия икономически оператор продължава да се извършва на територията на държави членки, различни от тази, в която вече е била наложена административна глоба, или смекчаващи, като се гарантира, че всяка друга административна глоба, разглеждана от друг орган за надзор на пазара за същия икономически оператор или за същия вид нарушение, следва вече да отчита, заедно с други съответни конкретни обстоятелства, санкцията и нейния размер, наложени в други държави членки. Във всички такива случаи кумулативната административна глоба, която може да бъде наложена от органите за надзор на пазара на няколко държави членки на един и същ икономически оператор за един и същ вид нарушение, следва да гарантира спазването на принципа на пропорционалност. Като се има предвид, че административните глоби не се прилагат за микропредприятия или малки предприятия за неспазване на 24-часовия срок за нотифицирането за ранно предупреждение за активно използвани уязвимости или сериозни инциденти, които оказват въздействие върху сигурността на продукта с цифрови елементи, нито за попечителите на софтуер с отворен код за нарушение на настоящия регламент, и при спазване на принципа, че санкциите следва да бъдат ефективни, пропорционални и възпиращи, държавите членки не следва да налагат други видове имуществени санкции на тези субекти.

(121)

При налагане на административни глоби на лице, което не е предприятие, компетентният орган следва да има предвид общото равнище на доход в съответната държава членка, както и икономическото състояние на лицето, когато определя подходящия размер на глобата. Държавите членки следва да определят дали и до каква степен публичните органи следва да подлежат на административни глоби.

(122)

Държавите членки следва да проучат, като вземат предвид националните обстоятелства, възможността за използване на приходите от санкциите, предвидени в настоящия регламент, или техния финансов еквивалент в подкрепа на политиките за киберсигурност и за повишаване на равнището на киберсигурност в Съюза, наред с другото чрез увеличаване на броя на квалифицираните специалисти в областта на киберсигурността, укрепване на изграждането на капацитет за микропредприятията и малките и средните предприятия и подобряване на обществената осведоменост относно киберзаплахите.

(123)

В отношенията си с трети държави Съюзът се стреми да насърчава международната търговия с регулирани продукти. С оглед улесняване на търговията могат да се прилагат широк спектър от мерки, включително няколко правни инструмента, като например двустранни (междуправителствени) споразумения за взаимно признаване (СВП) за оценка на съответствието и маркиране на регулирани продукти. СВП се сключват между Съюза и трети държави, които се намират на сравнимо ниво на техническо развитие и имат съвместим подход по отношение на оценяването на съответствието. Тези споразумения се основават на взаимното приемане на сертификати, маркировки за съответствие и протоколи от изпитвания, издадени от органите за оценяване на съответствието на една от страните в съответствие със законодателството на другата страна. Понастоящем има СВП с няколко трети държави. Тези СВП се сключват в редица специфични сектори, които могат да се различават в отделните трети държави. С цел допълнително улесняване на търговията и като се отчита, че веригите за доставка на продукти с цифрови елементи са глобални, СВП относно оценяването на съответствието могат да бъдат сключени от Съюза за продукти, регулирани от настоящия регламент, в съответствие с член 218 от ДФЕС. Сътрудничеството с партньорски трети държави също е важно, за да се засили киберустойчивостта в световен мащаб, тъй като в дългосрочен план това ще допринесе за укрепване на рамката за киберсигурност както в Съюза, така и извън него.

(124)

Потребителите следва да могат да упражняват правата си във връзка със задълженията, наложени на икономическите оператори съгласно настоящия регламент, чрез представителни искове съгласно Директива (ЕС) 2020/1828 на Европейския парламент и на Съвета (33). За тази цел в настоящия регламент следва да се предвиди, че Директива (ЕС) 2020/1828 е приложима за представителните искове във връзка с нарушения на настоящия регламент, които увреждат или могат да увредят колективните интереси на потребителите. Поради това приложение I към посочената директива следва да бъде съответно изменено. Държавите членки трябва да гарантират, че тези изменения са отразени в мерките за транспониране, приети съгласно посочената директива, въпреки че приемането на национални мерки за транспониране във връзка с това не е условие за приложимостта на посочената директива по отношение на тези представителни искове. Приложимостта на посочената директива по отношение на представителните искове, предявени във връзка с нарушения от страна на икономически оператори на разпоредбите на настоящия регламент, които нарушения увреждат или биха могли да увредят колективните интереси на потребителите, следва да започне от 11 декември 2027 г.

(125)

Комисията следва периодично да извършва оценка и преглед на настоящия регламент, като се консултира със съответните заинтересовани страни, по-специално с цел установяване на необходимостта от изменения предвид промените в обществените, политическите, технологичните или пазарните условия. Настоящият регламент ще улесни спазването на задълженията за сигурност на веригата на доставки на субектите, попадащи в обхвата на Регламент (ЕС) 2022/2554 и Директива (ЕС) 2022/2555, които използват продукти с цифрови елементи. Комисията следва да оцени, като част от този периодичен преглед, комбинираното въздействие на рамката на Съюза за киберсигурност.

(126)

На икономическите оператори следва да се предостави достатъчно време, за да се адаптират към изискванията, установени в настоящия регламент. Настоящият регламент следва да се прилага от 11 декември 2027 г., с изключение на задълженията за докладване относно активно използвани уязвимости и сериозни инциденти, които оказват въздействие върху сигурността на продуктите с цифрови елементи, които следва да се прилагат от 11 септември 2026 г. и на разпоредбите относно нотифицирането на органи за оценяване на съответствието, които следва да се прилагат от 11 юни 2026 г.

(127)

Важно е да се предостави подкрепа на микропредприятията и малките и средните предприятия, включително новосъздадените предприятия, при прилагането на настоящия регламент и да се сведат до минимум рисковете за изпълнението, произтичащи от липсата на знания и експертен опит на пазара, както и за да се улесни спазването от страна на производителите на техните задължения, определени в настоящия регламент. Програмата „Цифрова Европа“ и други имащи отношение програми на Съюза предоставят финансова и техническа подкрепа, която дава възможност на тези предприятия да допринесат за растежа на икономиката на Съюза и за укрепването на общото ниво на киберсигурност в Съюза. Европейският център за експертни познания в областта на киберсигурността и националните координационни центрове, както и европейските цифрови иновационни центрове, създадени от Комисията и държавите членки на равнището на Съюза или на национално равнище, също биха могли да подкрепят дружествата и организациите от публичния сектор и да допринасят за прилагането на настоящия регламент. В рамките на съответните си мисии и области на компетентност те биха могли да предоставят техническа и научна подкрепа на микропредприятията и малките и средните предприятия, например за дейности по изпитване и оценки на съответствието от трета страна. Те биха могли също така да насърчат внедряването на инструменти с цел улесняване на прилагането на настоящия регламент.

(128)

Освен това държавите членки следва да обмислят предприемането на допълващи действия, насочени към предоставяне на насоки и подкрепа за микропредприятията и за малките и средните предприятия, например чрез създаването на регулаторни лаборатории и специални канали за комуникация. За да се повиши нивото на киберсигурност в Съюза, държавите членки могат също така да обмислят предоставянето на подкрепа за развиване на капацитет и умения, свързани с киберсигурността на продукти с цифрови елементи, подобряване на киберустойчивостта на икономическите оператори, по-специално на микропредприятията и малките и средните предприятия, и насърчаване на обществената осведоменост относно киберсигурността на продуктите с цифрови елементи.

(129)

Доколкото целта на настоящия регламент не може да бъде постигната в достатъчна степен от държавите членки, а поради последиците от действието може да бъде по-добре постигната на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от Договора за Европейския съюз. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тази цел.

(130)

Европейският надзорен орган по защита на данните беше консултиран в съответствие с член 42, параграф 1 от Регламент (ЕС) 2018/1725 на Европейския парламент и на Съвета (34) и прие становище на 9 ноември 2022 г. (35),