13 straipsnis. Gamintojų pareigos

1. Pateikdami produktą su skaitmeniniais elementais rinkai gamintojai užtikrina, kad tas produktas būtų suprojektuotas, sukurtas ir pagamintas laikantis I priedo I dalyje nustatytų esminių kibernetinio saugumo reikalavimų.

2. Siekdami laikytis 1 dalies gamintojai atlieka kibernetinio saugumo rizikos, susijusios su produktu su skaitmeniniais elementais, vertinimą ir atsižvelgia į to vertinimo rezultatus produkto su skaitmeniniais elementais planavimo, projektavimo, kūrimo, gamybos, pristatymo ir techninės priežiūros etapuose, kad būtų kuo labiau sumažinta kibernetinio saugumo rizika, išvengta incidentų ir kuo labiau sumažintas jų poveikis, įskaitant atvejus, kai tai susiję su naudotojų sveikata ir sauga.

3. Kibernetinio saugumo rizikos vertinimas dokumentuojamas ir, prireikus, atnaujinamas per palaikymo laikotarpį, kuris turi būti nustatytas pagal šio straipsnio 8 dalį. Tas kibernetinio saugumo rizikos vertinimas apima bent kibernetinio saugumo rizikos analizę, pagrįstą produkto su skaitmeniniais elementais numatytąja paskirtimi ir pagrįstai numatomu naudojimu, taip pat naudojimo sąlygomis, pavyzdžiui, veiklos aplinka arba apsaugomu turtu, atsižvelgiant į tikėtiną produkto naudojimo laikotarpį. Kibernetinio saugumo rizikos vertinime nurodoma, ar ir, jei taip, kokiu būdu atitinkamam produktui su skaitmeniniais elementais taikomi I priedo I dalies 2 punkte nustatyti saugumo reikalavimai ir kaip tie reikalavimai įgyvendinami remiantis kibernetinio saugumo rizikos vertinimu. Jame taip pat nurodoma, kaip gamintojas turi taikyti I priedo I dalies 1 punktą ir I priedo II dalyje nustatytus pažeidžiamumo valdymo reikalavimus.

4. Pateikdamas produktą su skaitmeniniais elementais rinkai gamintojas į pagal 31 straipsnį ir VII priedą reikalaujamus techninius dokumentus įtraukia šio straipsnio 3 dalyje nurodytą kibernetinio saugumo rizikos vertinimą. 12 straipsnyje nurodytų produktų su skaitmeniniais elementais, kuriems taip pat taikomi kiti Sąjungos teisės aktai, atveju kibernetinio saugumo rizikos vertinimas gali būti pagal tuos Sąjungos teisės aktus reikalaujamo rizikos vertinimo dalis. Jei produktui su skaitmeniniais elementais netaikomi tam tikri esminiai kibernetinio saugumo reikalavimai, gamintojas įtraukia tuo tikslu aiškų pagrindimą į techninius dokumentus.

5. Siekdami laikytis 1 dalies gamintojai atlieka išsamų patikrinimą, kai į produktus su skaitmeniniais elementais integruojami iš trečiųjų šalių gauti komponentai, kad tie komponentai nepakenktų produkto su skaitmeniniais elementais kibernetiniam saugumui, be kita ko, kai integruojami laisvosios ir atvirosios programinės įrangos komponentai, kurie netiekiami rinkai vykdant komercinę veiklą.

6. Nustatę pažeidžiamumą komponente, įskaitant atvirojo kodo komponentą, integruotą į produktą su skaitmeniniais elementais, gamintojai praneša apie pažeidžiamumą tą komponentą gaminančiam ar techniškai prižiūrinčiam asmeniui arba subjektui ir sprendžia bei pašalina pažeidžiamumo problemą laikantis I priedo II dalyje nustatytų pažeidžiamumo valdymo reikalavimų. Jei gamintojai yra sukūrę programinės ar aparatinės įrangos pakeitimą to komponento pažeidžiamumo problemai spręsti, jie, kai tinkama, kompiuterio skaitomu formatu dalijasi atitinkamu kodu arba dokumentais su tą komponentą gaminančiu ar techniškai prižiūrinčiu asmeniu arba subjektu.

7. Gamintojai sistemingai, proporcingai kibernetinio saugumo rizikai ir pobūdžiui, dokumentuoja atitinkamus kibernetinio saugumo aspektus, susijusius su produktais su skaitmeniniais elementais, įskaitant pažeidžiamumus, apie kuriuos jie sužino, ir visą aktualią trečiųjų šalių pateiktą informaciją ir, kai taikytina, atnaujina produkto kibernetinio saugumo rizikos vertinimą.

8. Pateikdami produktą su skaitmeniniais elementais rinkai ir per palaikymo laikotarpį gamintojai užtikrina, kad to produkto, įskaitant jo komponentus, pažeidžiamumai būtų veiksmingai valdomi laikantis I priedo II dalyje nustatytų esminių kibernetinio saugumo reikalavimų.

Gamintojai nustato tokį palaikymo laikotarpį, kad jis atspindėtų tikėtiną produkto naudojimo laikotarpį, visų pirma atsižvelgdami į pagrįstus naudotojų lūkesčius, produkto pobūdį, įskaitant jo numatytąją paskirtį, taip pat į atitinkamus Sąjungos teisės aktus, kuriais nustatoma produktų su skaitmeniniais elementais naudojimo trukmė. Nustatydami palaikymo laikotarpį, gamintojai taip pat gali atsižvelgti į produktų su skaitmeniniais elementais, turinčiais panašią funkciją, kuriuos rinkai pateikė kiti gamintojai, palaikymo laikotarpius, veiklos aplinkos prieinamumą, iš trečiųjų šalių gautų pagrindines funkcijas atliekančių integruotų komponentų palaikymo laikotarpius, taip pat į atitinkamas pagal 52 straipsnio 15 dalį įsteigtos specialios administracinio bendradarbiavimo grupės ir Komisijos pateiktas gaires. Į aspektus, į kuriuos turi būti atsižvelgiama nustatant palaikymo laikotarpį, atsižvelgiama taip, kad būtų užtikrintas proporcingumas.

Nedarant poveikio antrai pastraipai, palaikymo laikotarpis turi būti bent penkeri metai. Jei tikėtina, kad produktas su skaitmeniniais elementais bus naudojamas trumpiau nei penkerius metus, palaikymo laikotarpis turi atitikti tikėtiną naudojimo laiką.

Atsižvelgdama į 52 straipsnio 16 dalyje nurodytas administracinio bendradarbiavimo grupės rekomendacijas, Komisija pagal 61 straipsnį gali priimti deleguotuosius aktus, siekiant šį reglamentą papildyti, kuriais nustatomas minimalus palaikymo laikotarpis konkrečioms produktų kategorijoms, jei iš rinkos priežiūros duomenų matyti, kad palaikymo laikotarpiai yra nepakankami.

Gamintojai į VII priede nurodytus techninius dokumentus įtraukia informaciją, į kurią buvo atsižvelgta nustatant produkto su skaitmeniniais elementais palaikymo laikotarpį.

Gamintojai turi turėti tinkamą politiką ir procedūras, įskaitant I priedo II dalies 5 punkte nurodytą koordinuoto pažeidžiamumų atskleidimo politiką, kad tvarkytų ir pašalintų galimus produkto su skaitmeniniais elementais pažeidžiamumus, apie kuriuos pranešė vidiniai arba išoriniai šaltiniai.

9. Gamintojai užtikrina, kad kiekvienas saugumo naujinys, nurodytas I priedo II dalies 8 punkte, kuris naudotojams buvo pateiktas per palaikymo laikotarpį, po jo išleidimo liktų prieinamas ne trumpiau kaip 10 metų arba likusį palaikymo laikotarpio laiką, priklausomai nuo to, kuris terminas yra ilgesnis.

10. Jei gamintojas pateikė rinkai vėlesnių iš esmės pakeistų programinės įrangos produkto versijų, tas gamintojas gali užtikrinti, kad būtų laikomasi I priedo II dalies 2 punkte nustatyto esminio kibernetinio saugumo reikalavimo tik tos versijos, kurią gamintojas paskutinę pateikė rinkai, atveju, jei anksčiau rinkai pateiktų versijų naudotojai gali nemokamai naudotis paskutine rinkai pateikta versija ir nepatiria papildomų išlaidų, kad pritaikytų aparatinės ir programinės įrangos aplinką, kurioje jie naudoja pirminę to produkto versiją.

11. Gamintojai gali laikyti viešuosius programinės įrangos archyvus, kad naudotojams būtų lengviau susipažinti su ankstesnėmis versijomis. Tokiais atvejais naudotojai turi būti aiškiai ir lengvai prieinamu būdu informuojami apie riziką, susijusią su nepalaikomos programinės įrangos naudojimu.

12. Prieš pateikdami produktą su skaitmeniniais elementais rinkai gamintojai parengia 31 straipsnyje nurodytus techninius dokumentus.

Jie atlieka 32 straipsnyje nurodytas pasirinktas atitikties vertinimo procedūras arba paveda jas atlikti.

Jei pagal tą atitikties vertinimo procedūrą įrodyta, kad produktas su skaitmeniniais elementais atitinka I priedo I dalyje nustatytus esminius kibernetinio saugumo reikalavimus ir kad gamintojo įdiegti procesai atitinka I priedo II dalyje nustatytus esminius kibernetinio saugumo reikalavimus, gamintojas parengia ES atitikties deklaraciją pagal 28 straipsnį ir paženklina produktą CE ženklu pagal 30 straipsnį.

13. Gamintojas saugo techninius dokumentus ir ES atitikties deklaraciją bent 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad rinkos priežiūros institucijos galėtų su jais susipažinti.

14. Gamintojai užtikrina, kad būtų nustatytos procedūros, kurias taikant būtų išlaikoma serijinės gamybos būdu gaminamų produktų su skaitmeniniais elementais atitiktis šiam reglamentui. Gamintojai tinkamai atsižvelgia į produkto su skaitmeniniais elementais kūrimo ir gamybos procesų, taip pat projektavimo ir charakteristikų pakeitimus bei į 27 straipsnyje nurodytų darniųjų standartų, Europos kibernetinio saugumo sertifikavimo schemų arba bendrųjų specifikacijų, į kuriuos darant nuorodą deklaruojama produkto su skaitmeniniais elementais atitiktis arba kuriuos taikant tikrinama jo atitiktis, pakeitimus.

15. Gamintojai užtikrina, kad ant jų produktų su skaitmeniniais elementais būtų nurodytas tipo, partijos ar serijos numeris ar kitas elementas, pagal kurį juos galima identifikuoti, arba, jei to neįmanoma padaryti, užtikrina, kad ta informacija būtų pateikta ant jų pakuotės arba prie produkto su skaitmeniniais elementais pridedamame dokumente.

16. Ant produkto su skaitmeniniais elementais, ant jo pakuotės arba prie produkto su skaitmeniniais elementais pridedamame dokumente gamintojas nurodo savo pavadinimą, registruotą prekės pavadinimą arba registruotą prekių ženklą, pašto adresą, e. pašto adresą ar kitus skaitmeninių kontaktų duomenis, taip pat, kai taikytina, interneto svetainę, kuriais naudojantis galima susisiekti su gamintoju. Ta informacija taip pat įtraukiama į naudotojui skirtą informaciją ir instrukcijas, nustatytas II priede. Kontaktiniai duomenys turi būti pateikiami naudotojams ir rinkos priežiūros institucijoms lengvai suprantama kalba.

17. Šio reglamento tikslais gamintojai paskiria vieną bendrą kontaktinį punktą, kad naudotojai galėtų tiesiogiai ir greitai su jais susisiekti, be kita ko, kad būtų lengviau pranešti apie produkto su skaitmeniniais elementais pažeidžiamumus.

Gamintojai užtikrina, kad naudotojai galėtų lengvai nustatyti, kur yra vienas bendras kontaktinis punktas. Gamintojai taip pat nurodo vieną bendrą kontaktinį punktą naudotojui skirtoje informacijoje ir instrukcijose, nustatytose II priede.

Vienas bendras kontaktinis punktas leidžia naudotojams pasirinkti pageidaujamas komunikacijos priemones ir neapriboja tokių priemonių vien automatizuotomis priemonėmis.

18. Gamintojai užtikrina, kad prie produktų su skaitmeniniais elementais būtų pridėta naudotojui skirta informacija ir instrukcijos, nustatytos II priede, popierine arba elektronine forma. Tokia informacija ir instrukcijos pateikiamos tokia kalba, kurią gali lengvai suprasti naudotojai ir rinkos priežiūros institucijos. Jos turi būti aiškios, suprantamos, nesudėtingos ir įskaitomos. Jos turi užtikrinti galimybę saugiai įrengti, eksploatuoti ir naudoti produktus su skaitmeniniais elementais. Gamintojai saugo naudotojui skirtą informaciją ir instrukcijas, nustatytas II priede, bent 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis, kad naudotojai ir nacionalinės rinkos priežiūros institucijos galėtų su jomis susipažinti. Jei tokia informacija ir instrukcijos teikiamos internete, gamintojai užtikrina, kad jos būtų prieinamos, patogios naudotojui ir kad su jomis būtų galima susipažinti internete bent 10 metų po produkto su skaitmeniniais elementais pateikimo rinkai dienos arba per palaikymo laikotarpį, priklausomai nuo to, kuris terminas yra ilgesnis.

19. Gamintojai užtikrina, kad 8 dalyje nurodyto palaikymo laikotarpio pabaigos data, įskaitant bent mėnesį ir metus, būtų aiškiai ir suprantamai nurodyta pirkimo metu lengvai prieinamu būdu ir, kai taikytina, ant produkto su skaitmeniniais elementais, jo pakuotės arba skaitmeninėmis priemonėmis.

Kai tai techniškai įmanoma atsižvelgiant į produkto su skaitmeniniais elementais pobūdį, gamintojai pateikia naudotojams pranešimą, kuriuo jie informuojami, kad atėjo jų produkto su skaitmeniniais elementais palaikymo laikotarpio pabaiga.

20. Gamintojai kartu su produktu su skaitmeniniais elementais pateikia ES atitikties deklaracijos kopiją arba supaprastintą ES atitikties deklaraciją. Jei pateikiama supaprastinta ES atitikties deklaracija, joje turi būti nurodytas tikslus interneto adresas, kuriuo galima gauti visą ES atitikties deklaracijos tekstą.

21. Pateikę produktą su skaitmeniniais elementais rinkai ir per palaikymo laikotarpį, jei gamintojai žino arba turi priežasčių manyti, kad produktas su skaitmeniniais elementais arba gamintojo įdiegti procesai neatitinka I priede nustatytų esminių kibernetinio saugumo reikalavimų, jie nedelsdami imasi taisomųjų priemonių, būtinų to produkto su skaitmeniniais elementais arba gamintojo procesų atitikčiai užtikrinti, arba, prireikus, jį atšaukti ar pašalinti.

22. Gamintojai, gavę pagrįstą rinkos priežiūros institucijos prašymą, pateikia tai institucijai tokia kalba, kurią ta institucija gali lengvai suprasti, visą informaciją ir dokumentus popierine arba elektronine forma, būtinus įrodyti produkto su skaitmeniniais elementais ir gamintojo įdiegtų procesų atitiktį I priede nustatytiems esminiams kibernetinio saugumo reikalavimams. Tos institucijos prašymu gamintojai bendradarbiauja su ja dėl visų priemonių, kurių imamasi siekiant pašalinti jų rinkai pateikto produkto su skaitmeniniais elementais keliamą kibernetinio saugumo riziką.

23. Gamintojas, kuris nutraukia savo veiklą ir dėl to negali laikytis šio reglamento, prieš veiklos nutraukimą informuoja atitinkamas rinkos priežiūros institucijas, taip pat visomis turimomis priemonėmis ir, kiek įmanoma, informuoja atitinkamų rinkai pateiktų produktų su skaitmeniniais elementais naudotojus apie tai, kad ketinama nutraukti veiklą.

24. Komisija gali, atsižvelgdama į Europos ar tarptautinius standartus ir geriausią praktiką, įgyvendinimo aktais nustatyti I priedo II dalies 1 punkte nurodyto programinės įrangos medžiagų žiniaraščio formatą ir elementus. Tie įgyvendinimo aktai priimami laikantis 62 straipsnio 2 dalyje nurodytos nagrinėjimo procedūros.

25. Siekiant įvertinti valstybių narių ir visos Sąjungos priklausomybę nuo programinės įrangos komponentų, visų pirma nuo komponentų, kurie priskiriami prie laisvosios ir atvirosios programinės įrangos, administracinio bendradarbiavimo grupė gali nuspręsti atlikti priklausomybės nuo konkrečių kategorijų produktų su skaitmeniniais elementais Sąjungos mastu vertinimą. Tuo tikslu rinkos priežiūros institucijos gali prašyti tokių kategorijų produktų su skaitmeniniais elementais gamintojų pateikti atitinkamus I priedo II dalies 1 punkte nurodytus programinės įrangos medžiagų žiniaraščius. Remdamosi tokia informacija, rinkos priežiūros institucijos gali pateikti administracinio bendradarbiavimo grupei anoniminę ir apibendrintą informaciją apie priklausomybę nuo programinės įrangos. Administracinio bendradarbiavimo grupė pateikia priklausomybės vertinimo rezultatų ataskaitą Bendradarbiavimo grupei, įsteigtai pagal Direktyvos (ES) 2022/2555 14 straipsnį.