32 straipsnis. Produktų su skaitmeniniais elementais atitikties vertinimo procedūros

1. Gamintojas atlieka produkto su skaitmeniniais elementais ir gamintojo įdiegtų procesų atitikties vertinimą, kad nustatytų, ar laikomasi I priede nustatytų esminių kibernetinio saugumo reikalavimų. Gamintojas turi įrodyti atitiktį tiems esminiams kibernetinio saugumo reikalavimams taikydamas bet kurią iš šių procedūrų:

a) vidaus kontrolės procedūrą (remiantis A moduliu), nustatytą VIII priede;

b) ES tipo tyrimo procedūrą (remiantis B moduliu), nustatytą VIII priede, ir po to ES tipo atitikties, pagrįstos vidine gamybos kontrole, procedūrą (remiantis C moduliu), nustatytą VIII priede;

c) visišku kokybės užtikrinimu pagrįstą atitikties vertinimo procedūrą (remiantis H moduliu), nustatytą VIII priede, arba

d) kai yra ir taikytina, Europos kibernetinio saugumo sertifikavimo schemą pagal 27 straipsnio 9 dalį.

2. Jei vertindamas III priede nustatytai I klasei priskiriamo svarbaus produkto su skaitmeniniais elementais ir jo gamintojo įdiegtų procesų atitiktį I priede nustatytiems esminiams kibernetinio saugumo reikalavimams gamintojas netaikė darniųjų standartų, bendrųjų specifikacijų ar Europos kibernetinio saugumo sertifikavimo schemų, kurių saugumo užtikrinimo lygis yra bent „pakankamai aukštas“, kaip nurodyta 27 straipsnyje, arba taikė juos tik iš dalies, arba jei tokių darniųjų standartų, bendrųjų specifikacijų ar Europos kibernetinio saugumo sertifikavimo schemų nėra, atitinkamam produktui su skaitmeniniais elementais ir gamintojo įdiegtiems procesams dėl tų esminių kibernetinio saugumo reikalavimų taikoma viena iš šių procedūrų:

a) ES tipo tyrimo procedūra (remiantis B moduliu), nustatyta VIII priede, ir po to ES tipo atitikties, pagrįstos vidine gamybos kontrole, procedūra (remiantis C moduliu), nustatyta VIII priede, arba

b) visišku kokybės užtikrinimu pagrįsta atitikties vertinimo procedūra (remiantis H moduliu), nustatyta VIII priede.

3. Jei produktas yra III priede nustatytai II klasei priskiriamas svarbus produktas su skaitmeniniais elementais, gamintojas turi įrodyti atitiktį I priede nustatytiems esminiams kibernetinio saugumo reikalavimams taikydamas bet kurią iš šių procedūrų:

a) ES tipo tyrimo procedūrą (remiantis B moduliu), nustatytą VIII priede, ir po to ES tipo atitikties, pagrįstos vidine gamybos kontrole, procedūrą (remiantis C moduliu), nustatytą VIII priede;

b) visišku kokybės užtikrinimu pagrįstą atitikties vertinimo procedūrą (remiantis H moduliu), nustatytą VIII priede, arba

c) kai yra ir taikytina, Europos kibernetinio saugumo sertifikavimo schemą pagal šio reglamento 27 straipsnio 9 dalį, kurios saugumo užtikrinimo lygis yra bent „pakankamai aukštas“ pagal Reglamentą (ES) 2019/881.

4. IV priede išvardytų ypatingos svarbos produktų su skaitmeniniais elementais atveju turi būti įrodyta atitiktis I priede nustatytiems esminiams kibernetinio saugumo reikalavimams taikant vieną iš šių procedūrų:

a) Europos kibernetinio saugumo sertifikavimo schemą pagal 8 straipsnio 1 dalį, arba

b) jei netenkinamos 8 straipsnio 1 dalyje nustatytos sąlygos, bet kurią iš šio straipsnio 3 dalyje nurodytų procedūrų.

5. Produktų su skaitmeniniais elementais, kurie laikomi laisvąja ir atvirąja programine įranga, priskiriamų prie III priede nustatytų kategorijų, gamintojai turi gebėti įrodyti atitiktį I priede nustatytiems esminiams kibernetinio saugumo reikalavimams taikant vieną iš šio straipsnio 1 dalyje nurodytų procedūrų, su sąlyga, kad 31 straipsnyje nurodyti techniniai dokumentai yra viešai prieinami tų produktų pateikimo rinkai metu.

6. Nustatant mokesčius už atitikties vertinimo procedūras atsižvelgiama į konkrečius labai mažų įmonių ir mažųjų bei vidutinių įmonių, įskaitant startuolius, interesus ir poreikius ir tie mokesčiai sumažinami proporcingai jų konkretiems interesams ir poreikiams.