VIII PRIEDAS

I dalis Atitikties vertinimo procedūra, pagrįsta vidaus kontrole (remiantis A moduliu)

1. Vidaus kontrolė yra atitikties vertinimo procedūra, pagal kurią gamintojas įvykdo šios dalies 2, 3 ir 4 punktuose nustatytas pareigas ir, prisiimdamas visą atsakomybę, užtikrina ir pareiškia, kad produktai su skaitmeniniais elementais atitinka visus I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus, o gamintojas atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.

2. Gamintojas parengia VII priede aprašytus techninius dokumentus.

3. Produktų su skaitmeniniais elementais projektavimas, kūrimas, gamyba ir pažeidžiamumo valdymas

Gamintojas imasi visų būtinų priemonių, kad projektavimo, kūrimo, gamybos ir pažeidžiamumo valdymo procesai bei jų stebėsena užtikrintų pagamintų ar sukurtų produktų su skaitmeniniais elementais bei gamintojo įdiegtų procesų atitiktį I priedo I ir II dalyse nustatytiems esminiams kibernetinio saugumo reikalavimams.

4. Atitikties ženklas ir atitikties deklaracija

4.1. Kiekvieną atskirą produktą su skaitmeniniais elementais, kuris atitinka taikytinus šiame reglamente nustatytus reikalavimus, gamintojas paženklina CE ženklu.

4.2. Gamintojas parengia rašytinę kiekvieno produkto su skaitmeniniais elementais ES atitikties deklaraciją pagal 28 straipsnį ir kartu su techniniais dokumentais saugo ją 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad nacionalinės institucijos galėtų su jais susipažinti. ES atitikties deklaracijoje identifikuojamas produktas su skaitmeniniais elementais, kuriam ji buvo parengta. ES atitikties deklaracijos kopija pateikiama atitinkamoms institucijoms jų prašymu.

5. Įgaliotieji atstovai

4 punkte nustatytas gamintojo pareigas jo vardu ir jo atsakomybe gali vykdyti jo įgaliotasis atstovas, jei atitinkamos pareigos yra nurodytos įgaliojime.

II dalis ES tipo tyrimas (remiantis B moduliu)

1. ES tipo tyrimas yra dalis atitikties vertinimo procedūros, pagal kurią notifikuotoji įstaiga nagrinėja produkto su skaitmeniniais elementais techninį projektą ir kūrimą bei gamintojo įdiegtus pažeidžiamumo valdymo procesus ir patvirtina, kad produktas su skaitmeniniais elementais atitinka I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus, o gamintojas atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.

2. ES tipo tyrimas atliekamas kaip produkto su skaitmeniniais elementais techninio projekto ir kūrimo atitikties vertinimas atliekant techninių dokumentų ir 3 punkte nurodytų patvirtinamųjų duomenų tyrimą ir vienos ar daugiau svarbiausių produkto dalių pavyzdžių tyrimą (apimantį produkcijos tipą ir projekto tipą).

3. Gamintojas vienai jo pasirinktai notifikuotajai įstaigai pateikia ES tipo tyrimo paraišką.

Paraiškoje pateikiama:

3.1. gamintojo pavadinimas ir adresas ir, jei paraišką pateikia jo įgaliotasis atstovas, to įgaliotojo atstovo pavadinimas ir adresas;

3.2. rašytinis pareiškimas, kad tokia pati paraiška nėra pateikta jokiai kitai notifikuotajai įstaigai;

3.3. techniniai dokumentai, kurie suteikia galimybę įvertinti produkto su skaitmeniniais elementais atitiktį taikytiniems I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams ir I priedo II dalyje nustatytus gamintojo pažeidžiamumo valdymo procesus ir kurie apima tinkamą rizikos analizę ir vertinimą. Techniniuose dokumentuose nurodomi taikytini reikalavimai, ir tie dokumentai, kiek reikia vertinimui, apima produkto su skaitmeniniais elementais projektavimą, gamybą ir veikimą. Kai taikytina, techniniuose dokumentuose pateikiami bent VII priede nurodyti elementai;

3.4. duomenys, patvirtinantys techninio projekto ir kūrimo sprendimų bei pažeidžiamumo valdymo procesų tinkamumą. Pateikiant šiuos patvirtinamuosius duomenis nurodomi visi naudoti dokumentai, ypač jei atitinkami darnieji standartai arba techninės specifikacijos buvo taikyti nepilnai. Prireikus, į patvirtinamuosius duomenis įtraukiami atitinkamoje gamintojo laboratorijoje arba kitoje bandymų laboratorijoje jo vardu ir jo atsakomybe atliktų bandymų rezultatai.

4. Notifikuotoji įstaiga:

4.1. išnagrinėja techninius dokumentus ir patvirtinamuosius duomenis, kad įvertintų produkto su skaitmeniniais elementais techninio projekto ir kūrimo atitiktį I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams ir gamintojo įdiegtų pažeidžiamumo valdymo procesų atitiktį I priedo II dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams;

4.2. patikrina, ar pavyzdžiai sukurti arba pagaminti pagal techninius dokumentus, ir nustato, kurie elementai suprojektuoti ir sukurti pagal taikytinas atitinkamų darniųjų standartų arba techninių specifikacijų nuostatas ir kurie elementai suprojektuoti ir sukurti netaikant atitinkamų tų standartų nuostatų;

4.3. jei dėl I priede nurodytų reikalavimų gamintojas pasirinko taikyti atitinkamuose darniuosiuose standartuose arba techninėse specifikacijose nustatytus sprendimus – atlieka reikiamus tyrimus ir bandymus arba paveda juos atlikti, kad patikrintų, jog tie sprendimai taikyti tinkamai;

4.4. jei dėl I priede nurodytų reikalavimų susijusiuose darniuosiuose standartuose arba techninėse specifikacijose nustatyti sprendimai nebuvo taikomi – atlieka reikiamus tyrimus ir bandymus arba paveda juos atlikti, kad patikrintų, jog gamintojo pasirinkti sprendimai atitinka susijusius esminius kibernetinio saugumo reikalavimus;

4.5. susitaria su gamintoju dėl vietos, kurioje bus atliekami tyrimai ir bandymai.

5. Notifikuotoji įstaiga parengia vertinimo ataskaitą, kurioje registruojami pagal 4 punktą atliekami veiksmai ir jų rezultatai. Nedarant poveikio jos pareigoms notifikuojančiųjų institucijų atžvilgiu, notifikuotoji įstaiga visą tos ataskaitos turinį arba jos dalį paskelbia tik gavusi gamintojo sutikimą.

6. Kai tipas ir pažeidžiamumo valdymo procesai atitinka I priede nustatytus esminius kibernetinio saugumo reikalavimus, notifikuotoji įstaiga išduoda gamintojui ES tipo tyrimo sertifikatą. Sertifikate nurodomas gamintojo pavadinimas ir adresas, tyrimo išvados, sertifikato galiojimo sąlygos (jei yra) ir duomenys, reikalingi patvirtintam tipui ir pažeidžiamumo valdymo procesams identifikuoti. Prie sertifikato gali būti pridedamas vienas arba daugiau priedų.

Sertifikate ir jo prieduose turi būti visa susijusi informacija, kuria remiantis būtų galima įvertinti pagamintų ar sukurtų produktų su skaitmeniniais elementais atitiktį ištirtam tipui ir pažeidžiamumo valdymo procesams bei atlikti naudojamų produktų kontrolę.

Kai tipas ir pažeidžiamumo valdymo procesai neatitinka taikytinų I priede nustatytų esminių kibernetinio saugumo reikalavimų, notifikuotoji įstaiga turi atsisakyti išduoti ES tipo tyrimo sertifikatą ir apie tai pranešti pareiškėjui, nurodydama išsamias atsisakymo priežastis.

7. Notifikuotoji įstaiga seka visuotinai pripažįstamas mokslo ir technikos naujoves, kurios rodo, kad patvirtintas tipas ir pažeidžiamumo valdymo procesai gali nebeatitikti taikytinų I priede nustatytų esminių kibernetinio saugumo reikalavimų, ir sprendžia, ar dėl tokių pokyčių būtina atlikti papildomus tyrimus. Jei taip, notifikuotoji įstaiga apie tai praneša gamintojui.

Gamintojas informuoja notifikuotąją įstaigą, kuri saugo su ES tipo tyrimo sertifikatu susijusius techninius dokumentus, apie visus patvirtinto tipo ir pažeidžiamumo valdymo procesų pakeitimus, kurie gali daryti poveikį atitikčiai I priede nustatytiems esminiams kibernetinio saugumo reikalavimams arba sertifikato galiojimo sąlygoms. Tokiems pakeitimams reikalingas papildomas patvirtinimas, išduodamas kaip pirminio ES tipo tyrimo sertifikato papildymas.

8. Notifikuotoji įstaiga atlieka periodinius auditus, siekdama užtikrinti, kad I priedo II dalyje nustatyti pažeidžiamumo valdymo procesai būtų įgyvendinami tinkamai.

9. Kiekviena notifikuotoji įstaiga praneša notifikuojančiosioms institucijoms apie savo išduotus arba panaikintus ES tipo tyrimo sertifikatus ir jų papildymus ir periodiškai arba gavusi prašymą pateikia joms sertifikatų ir jų papildymų, kuriuos išduoti ji atsisakė arba kurių galiojimą laikinai sustabdė ar kitaip apribojo, sąrašą.

Kiekviena notifikuotoji įstaiga informuoja kitas notifikuotąsias įstaigas apie ES tipo tyrimo sertifikatus ir jų papildymus, kuriuos ji atsisakė išduoti, panaikino, laikinai sustabdė ar kitaip apribojo jų galiojimą, o gavusi prašymą – ir apie išduotus sertifikatus ir jų papildymus.

Komisija, valstybės narės ir kitos notifikuotosios įstaigos gali, pateikusios prašymą, gauti ES tipo tyrimo sertifikatų ir visų jų papildymų kopijas. Komisija ir valstybės narės gali, pateikusios prašymą, gauti techninių dokumentų kopiją ir notifikuotosios įstaigos atliktų tyrimų rezultatus. Notifikuotoji įstaiga saugo ES tipo tyrimo sertifikato, jo priedų ir papildymų kopijas, taip pat techninę bylą su gamintojo pateiktais dokumentais iki sertifikato galiojimo pabaigos.

10. Gamintojas saugo ES tipo tyrimo sertifikato, jo priedų bei papildymų kopijas ir techninius dokumentus 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad nacionalinės institucijos galėtų su jais susipažinti.

11. Gamintojo įgaliotasis atstovas gali pateikti 3 punkte nurodytą paraišką ir vykdyti 7 ir 10 punktuose nustatytas pareigas, jei atitinkamos pareigos yra nurodytos įgaliojime.

III dalis Gamybos vidaus kontrole pagrįsta atitiktis tipui (remiantis C moduliu)

1. Gamybos vidaus kontrole pagrįsta tipo atitiktis – tai atitikties vertinimo procedūros dalis, kurios metu gamintojas įvykdo šios dalies 2 ir 3 punktuose nustatytas pareigas, taip pat užtikrina ir patvirtina, kad atitinkami produktai su skaitmeniniais elementais atitinka ES tipo tyrimo sertifikate aprašytą tipą bei I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus ir kad gamintojas atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus.

2. Gamyba

Gamintojas imasi visų būtinų priemonių, kad vykdant gamybą ir jos stebėseną būtų užtikrinta pagamintų produktų su skaitmeniniais elementais atitiktis ES tipo tyrimo sertifikate aprašytam patvirtintam tipui bei I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams, taip pat užtikrinta gamintojo atitiktis I priedo II dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams.

3. Atitikties ženklas ir atitikties deklaracija

3.1. Kiekvieną produktą su skaitmeniniais elementais, atitinkantį ES tipo tyrimo sertifikate aprašytą tipą ir šiame reglamente nustatytus taikytinus reikalavimus, gamintojas paženklina CE ženklu.

3.2. Gamintojas parengia rašytinę produkto modelio atitikties deklaraciją ir saugo ją 10 metų nuo produkto su skaitmeniniais elementais pateikimo rinkai arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad nacionalinės institucijos galėtų su jais susipažinti. Atitikties deklaracijoje identifikuojamas produkto modelis, kuriam ji buvo parengta. Atitikties deklaracijos kopija pateikiama atitinkamoms institucijoms jų prašymu.

4. Įgaliotasis atstovas

3 punkte nustatytas gamintojo pareigas jo vardu ir jo atsakomybe gali vykdyti jo įgaliotasis atstovas, jei atitinkamos pareigos yra nurodytos įgaliojime.

IV dalis Visišku kokybės užtikrinimu pagrįsta atitiktis (remiantis H moduliu)

1. Visišku kokybės užtikrinimu pagrįsta atitiktis yra atitikties vertinimo procedūra, pagal kurią gamintojas įvykdo šios dalies 2 ir 5 punktuose nustatytas pareigas ir, prisiimdamas visą atsakomybę, užtikrina ir pareiškia, kad atitinkami produktai su skaitmeniniais elementais arba produktų kategorijos atitinka I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus ir kad gamintojo įdiegti pažeidžiamumo valdymo procesai atitinka I priedo II dalyje nustatytus reikalavimus.

2. Produktų su skaitmeniniais elementais projektavimas, kūrimas, gamyba ir pažeidžiamumo valdymas

Gamintojas valdo 3 punkte nurodytą patvirtintą atitinkamų produktų su skaitmeniniais elementais projektavimo, kūrimo ir galutinio gaminio patikros bei bandymų kokybės sistemą bei pažeidžiamumo valdymo kokybės sistemą, palaiko jos veiksmingumą per visą palaikymo laikotarpį ir jam taikoma 4 punkte nustatyta priežiūra.

3. Kokybės sistema

3.1. Gamintojas jo pasirinktai notifikuotajai įstaigai pateikia paraišką įvertinti jo kokybės sistemą, kurią jis taiko atitinkamiems produktams su skaitmeniniais elementais.

Paraiškoje pateikiama:

a) gamintojo pavadinimas ir adresas ir, jei paraišką pateikia jo įgaliotasis atstovas, to įgaliotojo atstovo pavadinimas ir adresas;

b) techniniai dokumentai, parengti vienam kiekvienos numatytų gaminti ar kurti produktų su skaitmeniniais elementais kategorijos modeliui. Jei taikytina, techniniuose dokumentuose pateikiami bent VII priede nurodyti elementai;

c) dokumentai dėl kokybės sistemos, ir

d) rašytinis pareiškimas, kad tokia pati paraiška nėra pateikta jokiai kitai notifikuotajai įstaigai.

3.2. Kokybės sistema turi užtikrinti produktų su skaitmeniniais elementais atitiktį I priedo I dalyje nustatytiems esminiams kibernetinio saugumo reikalavimams ir gamintojo įdiegtų pažeidžiamumo valdymo procesų atitiktį I priedo II dalyje nustatytiems reikalavimams.

Visi gamintojo priimti elementai, reikalavimai ir nuostatos sistemingai ir tvarkingai dokumentuojami – rengiamos rašytinės strategijos, procedūros ir instrukcijos. Kokybės sistemos dokumentai parengiami taip, kad jais remiantis būtų galima vienodai aiškinti kokybės programas, planus, vadovus ir įrašus.

Visų pirma, juose tinkamai aprašoma:

a) kokybės valdymo tikslai ir organizacinė struktūra, vadovybės pareigos ir įgaliojimai, susiję su projektavimu, kūrimu, produkto kokybe ir pažeidžiamumo valdymu;

b) techninio projekto ir kūrimo specifikacijos, įskaitant standartus, kurie bus taikomi, ir, jeigu atitinkami darnieji standartai arba techninės specifikacijos bus taikomi tik iš dalies, priemonės, kuriomis bus siekiama užtikrinti I priedo I dalyje nustatytų produktams su skaitmeniniais elementais taikomų esminių kibernetinio saugumo reikalavimų vykdymą;

c) procedūrų specifikacijos, įskaitant standartus, kurie bus taikomi, ir, jeigu atitinkami darnieji standartai arba techninės specifikacijos bus taikomi tik iš dalies, priemonės, kuriomis bus siekiama užtikrinti I priedo II dalyje nustatytų gamintojui taikomų esminių kibernetinio saugumo reikalavimų vykdymą;

d) projekto ir kūrimo kontrolės bei projekto ir kūrimo patikros būdai, procesai ir sistemingi veiksmai, kurie bus taikomi projektuojant ir kuriant nagrinėjamai gaminių kategorijai priklausančius produktus su skaitmeniniais elementais;

e) atitinkami gamybos, kokybės kontrolės ir kokybės užtikrinimo metodai, procesai ir sistemingi veiksmai, kurie bus taikomi;

f) tyrimai ir bandymai, kurie bus atliekami prieš gamybą, gamybos metu ir po jos, ir jų atlikimo dažnumas;

g) kokybės įrašai, kaip antai patikrinimų ataskaitos, bandymų ir kalibravimo duomenys bei atitinkamo personalo kvalifikacijos ataskaitos;

h) priemonės, skirtos stebėti, ar užtikrinama reikiama projekto ir produktų kokybė ir ar efektyviai veikia kokybės sistema.

3.3. Notifikuotoji įstaiga vertina kokybės sistemą ir nustato, ar ji atitinka 3.2 punkte nurodytus reikalavimus.

Ji preziumuoja, kad tuos reikalavimus atitinka tie kokybės sistemos elementai, kurie atitinka susijusį darnųjį standartą arba techninę specifikaciją įgyvendinančio nacionalinio standarto atitinkamas specifikacijas.

Be kokybės valdymo sistemų srities patirties, audito grupėje turi būti bent vienas narys, turintis atitinkamų produktų vertinimo patirties ir išmanantis atitinkamo produkto technologiją, ir audito grupė privalo žinoti taikytinus šiame reglamente nustatytus reikalavimus. Audito procedūros dalis yra vertinimas lankantis gamintojo patalpose, jei jis turi patalpas. Audito grupė peržiūri 3.1 punkto b papunktyje nustatytus techninius dokumentus, kad patikrintų gamintojo gebėjimą identifikuoti taikytinus šiame reglamente nustatytus reikalavimus ir atlikti reikiamus tyrimus, kad užtikrintų produkto su skaitmeniniais elementais atitiktį tiems reikalavimams.

Apie sprendimą pranešama gamintojui arba jo įgaliotajam atstovui.

Pranešime pateikiamos audito išvados ir pagrįstas įvertinimo sprendimas.

3.4. Gamintojas įsipareigoja vykdyti su patvirtinta kokybės sistema susijusias pareigas ir užtikrinti, kad sistema toliau veiktų tinkamai ir veiksmingai.

3.5. Gamintojas informuoja kokybės sistemą patvirtinusią notifikuotąją įstaigą apie visus numatomus kokybės sistemos pakeitimus.

Notifikuotoji įstaiga įvertina siūlomus pakeitimus ir nusprendžia, ar pakeista kokybės sistema toliau atitinka 3.2 punkte nurodytus reikalavimus, ar reikia ją iš naujo įvertinti.

Apie savo sprendimą ji praneša gamintojui. Pranešime pateikiamos nagrinėjimo išvados ir pagrįstas sprendimas dėl įvertinimo.

4. Notifikuotosios įstaigos atsakomybe atliekama priežiūra

4.1. Priežiūros tikslas – įsitikinti, ar gamintojas deramai vykdo pareigas, susijusias su patvirtinta kokybės sistema.

4.2. Gamintojas leidžia notifikuotajai įstaigai vertinimo tikslais patekti į projektavimo, kūrimo, gamybos, tikrinimo, bandymų bei sandėliavimo vietas, taip pat suteikia jai visą būtiną informaciją, visų pirma:

a) kokybės sistemos dokumentus;

b) projektui skirtoje kokybės sistemos dalyje numatytus kokybės įrašus, pavyzdžiui, analizių, skaičiavimų ir bandymų rezultatus;

c) gamybai skirtoje kokybės sistemos dalyje numatytus kokybės įrašus, pavyzdžiui, tikrinimų ataskaitas ir bandymų duomenis, kalibravimo duomenis ir susijusio personalo kvalifikacijos ataskaitas.

4.3. Notifikuotoji įstaiga atlieka periodinius auditus, kad galėtų įsitikinti, ar gamintojas techniškai prižiūri ir taiko kokybės sistemą, ir pateikia audito ataskaitą gamintojui.

5. Atitikties ženklas ir atitikties deklaracija

5.1. Kiekvieną atskirą produktą su skaitmeniniais elementais, kuris atitinka I priedo I dalyje nustatytus reikalavimus, gamintojas paženklina CE ženklu ir, 3.1 punkte nurodytos notifikuotosios įstaigos atsakomybe, šios įstaigos identifikaciniu numeriu.

5.2. Gamintojas parengia rašytinę kiekvieno produkto modelio atitikties deklaraciją ir saugo ją 10 metų nuo produkto su skaitmeniniais elementais pateikimo rinkai arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad ją būtų galima pateikti nacionalinėms institucijoms. Atitikties deklaracijoje identifikuojamas produkto modelis, kuriam ji buvo parengta.

Atitikties deklaracijos kopija pateikiama atitinkamoms institucijoms jų prašymu.

6. Gamintojas ne trumpiau kaip 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, saugo toliau nurodytus dokumentus, kad nacionalinės institucijos galėtų su jais susipažinti:

a) 3.1 punkte nurodytus techninius dokumentus;

b) dokumentus, susijusius su 3.1 punkte nurodyta kokybės sistema;

c) informaciją apie 3.5 punkte nurodytus patvirtintus pakeitimus;

d) notifikuotosios įstaigos sprendimus ir ataskaitas, nurodytas 3.5 ir 4.3 punktuose.

7. Kiekviena notifikuotoji įstaiga savo notifikuojančiąsias institucijas informuoja apie išduotus arba panaikintus kokybės sistemos patvirtinimus ir periodiškai arba gavusi prašymą notifikuojančiosioms institucijoms pateikia kokybės sistemos patvirtinimų, kuriuos išduoti ji atsisakė arba kurių galiojimą laikinai sustabdė ar kitaip apribojo, sąrašą.

Kiekviena notifikuotoji įstaiga kitas notifikuotąsias įstaigas informuoja apie kokybės sistemų patvirtinimus, kuriuos ji atsisakė išduoti, panaikino arba kurių galiojimą laikinai sustabdė, o gavusi prašymą – ir apie išduotus kokybės sistemų patvirtinimus.

8. Įgaliotasis atstovas

3.1, 3.5, 5 ir 6 punktuose nustatytas gamintojo pareigas jo vardu ir jo atsakomybe gali vykdyti jo įgaliotasis atstovas, jei atitinkamos pareigos nurodytos įgaliojime.

Dėl šio akto buvo padarytas pareiškimas; jį galima rasti OL C, 2024/6786, 2024 11 20, ELI: http://data.europa.eu/eli/C/2024/6786/oj.