Küberkerksuse määrus – õigusakti teksti kokkuvõte

Tarkvara- või riistvaratoode ja selle kaugandmetöötluslahendused, sealhulgas tarkvara- või riistvarakomponendid, mis lastakse turule eraldi.

andmetöötlus vahemaa tagant, mille jaoks tootja on tarkvara projekteerinud ja välja töötanud või mis toimub tootja vastutusel ning mille puudumine takistaks digielemente sisaldaval tootel täita üht oma funktsioonidest.

Tootja, volitatud esindaja, importija, levitaja või muu füüsiline või juriidiline isik, kelle suhtes kohaldatakse kohustusi seoses digielemente sisaldavate toodete tootmisega või digielemente sisaldavate toodete turul kättesaadavaks tegemisega kooskõlas käesoleva määrusega.

Füüsiline või juriidiline isik, kes arendab või toodab digielemente sisaldavaid tooteid või kes laseb digielemente sisaldavaid tooteid projekteerida, arendada või toota ning turustab neid oma nime või kaubamärgi all kas tasu eest, rahas või tasuta.

Juriidiline isik, kes ei ole tootja ja kelle eesmärk on pakkuda süstemaatiliselt ja püsivalt tuge selliste konkreetsete digielemente sisaldavate toodete väljatöötamiseks, mis kvalifitseeruvad vaba ja avatud lähtekoodiga tarkvaraks ning on ette nähtud äritegevuseks, ning kes tagab nende toodete elujõulisuse.

Liidus asuv füüsiline või juriidiline isik, kes on saanud tootjalt kirjaliku volituse tegutseda tema nimel seoses kindlaksmääratud ülesannetega.

Liidus asuv füüsiline või juriidiline isik, kes laseb turule digielemente sisaldava toote, mis kannab väljaspool liitu asuva füüsilise või juriidilise isiku nime või kaubamärki.

Tarneahelas osalev füüsiline või juriidiline isik, välja arvatud tootja või importija, kes teeb digielemente sisaldava toote liidu turul kättesaadavaks, ilma et see mõjutaks selle omadusi.

Digielemente sisaldava toote esmakordne liidu turul kättesaadavaks tegemine.

Digielemente sisaldava toote tasu eest või tasuta tarnimine liidu turule kaubandustegevuse käigus kas turustamiseks või kasutamiseks.

protsess, mille käigus kontrollitakse, kas I lisas sätestatud olulised küberturvalisuse nõuded on täidetud.

Artikli 43 ja muude asjakohaste liidu ühtlustamisõigusaktide kohaselt määratud vastavushindamisasutus.

Euroopa standardiorganisatsiooni vastu võetud standard, mis on vastu võetud komisjoni taotluse alusel liidu ühtlustamisõigusaktide kohaldamiseks.

I peatükis sätestatakse määruse kohaldamisala, määratletakse põhimõisted ja -mõisted ning selgitatakse reitinguagentuuride ja muude liidu õigusaktide koostoimet.

Reitinguagentuur kehtestab normid, mida ettevõtjad peavad järgima, kui nad soovivad digielemente sisaldavaid tooteid liidu turul kättesaadavaks teha. Eelkõige kehtestatakse sellega olulised küberturvalisuse nõuded, mida tootjad peavad järgima oma digielemente sisaldavate toodete kavandamisel, arendamisel ja tootmisel ning nende toodete eeldatava kasutamise ajal. Digielemente sisaldavad tooted kuuluvad reitinguagentuuride kohaldamisalasse, kui need on turul kättesaadavaks tehtud ja nende sihtotstarve või mõistlikult prognoositav kasutus hõlmab otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga.

Reitinguagentuuri ei kohaldata digielemente sisaldavate toodete suhtes, mida ei tehta turul kättesaadavaks, st mida ei tarnita äritegevuse käigus. Põhjenduses 18 selgitatakse täiendavalt, millal tehakse turul kättesaadavaks tasuta ja avatud lähtekoodiga tarkvara.

Lisaks on teatavad digielemente sisaldavad tooted reitinguagentuuride määruse kohaldamisalast välja jäetud, eriti kui need on hõlmatud muude liidu õigusaktidega.

Tootja kohustused

Reitinguagentuuri peamised kohustused on suunatud tootjatele, st füüsilistele või juriidilistele isikutele, kes lasevad digielemente sisaldava toote turule oma nime või kaubamärgi all. Sellised kohustused on sätestatud artiklis 13, mida täiendavad mitmesugused lisad (eelkõige I lisa oluliste küberturvalisuse nõuete kohta).

Digielemente sisaldava toote kavandamisel, arendamisel ja tootmisel peab tootja tagama, et see vastab olulistele küberturvalisuse nõuetele. Selleks peab tootja tegema küberturvalisuse riskihindamise, mis annab teavet oluliste nõuete rakendamiseks ja mida tuleb arvesse võtta toote kavandamis-, projekteerimis-, arendus-, tootmis-, tarne- ja hooldusetapis.

Kui tootja integreerib kolmandate isikute komponente, peab ta täitma hoolsuskohustust, et need komponendid ei ohustaks tema digielemente sisaldava toote küberturvalisust.

Tehnilisse dokumentatsiooni tuleb lisada küberriski hindamine ja vahendid, mille tootja valib oluliste nõuete rakendamiseks (nt standardid või muud tehnilised meetmed). Tootja on kohustatud hoidma dokumentatsiooni turujärelevalveasutustele kättesaadavana, sest nad võivad seda oma täitetoimingute raames nõuda.

Enne digielemente sisaldava toote turule laskmist peab tootja läbi viima valitud vastavushindamismenetluse (lisateavet vastavushindamise kohta vt III peatükist) ning kui see osutub edukaks, koostama ELi vastavusdeklaratsiooni ja kinnitama oma tootele CE-märgise.

Koos digielemente sisaldava tootega tuleks esitada ka järgmine teave:

• tüübi-, partii- või seerianumber või muu märge, mis võimaldab seda identifitseerida;
• tema nimi, registreeritud kaubanimi või registreeritud kaubamärk;
• postiaadress, e-posti aadress või muud digitaalsed kontaktandmed;
• vajaduse korral veebisait, kus saab tootjaga ühendust võtta;
• II lisas sätestatud teave ja juhised kasutajale, sealhulgas tugiperioodi lõppkuupäev.

Tootja peab oma digielemente sisaldava toote jaoks kindlaks määrama toetusperioodi, mille jooksul tootja tagab, et selle toote nõrkusi käsitletakse tõhusalt kooskõlas nõrkuste käsitlemise nõuetega (vt I lisa). Toetusperioodi lõppkuupäev (sh kuu ja aasta) tuleb ostmise ajal selgelt ja arusaadavalt kindlaks määrata.

Aruandluskohustused

Pärast toote turule laskmist peab tootja teatama aktiivselt ärakasutatavatest nõrkustest ja toote turvalisust mõjutavatest tõsistest intsidentidest, millest ta teada saab.

Tootja peab esitama teated oma peamise tegevuskoha liikmesriigi küberturbe intsidentide lahendamise üksusele (CSIRT) ja ENISA-le järgmiste tähtaegade jooksul:

• 24 tundi varajase hoiatamise teate puhul;
• 72 tundi põhiteate puhul;
• lõpparuanne hiljemalt 14 päeva pärast seda, kui aktiivselt ärakasutatavate nõrkuste kohta on kättesaadav parandus- või leevendusmeede;
• tõsiste vahejuhtumite korral ühe kuu jooksul pärast 72 tunni möödumist lõpparuande esitamisest.

Tootja esitab teated Euroopa Liidu Küberturvalisuse Ameti (ENISA) loodud ja hallatava reitinguagentuuride ühtse aruandlusplatvormi kaudu. Algselt teate saanud CSIRT edastab teate edasi nende teiste liikmesriikide CSIRTidele, kelle territooriumil digielemente sisaldav toode on kättesaadavaks tehtud.

Aruandluskohustusi kohaldatakse kõigi digielemente sisaldavate toodete suhtes, mis on liidu turul kättesaadavaks tehtud, sealhulgas nende suhtes, mis on juba turule lastud enne 11. detsembrit 2027.

Samuti on igal füüsilisel või juriidilisel isikul võimalik vabatahtlikult teatada nõrkustest, küberohtudest, intsidentidest ja ohuolukordadest reitinguagentuuride ühtse aruandlusplatvormi kaudu.

Volitatud esindaja

Tootja võib kirjaliku volitusega määrata volitatud esindaja, kes täidab mõningaid tootja ülesandeid. Need võivad hõlmata näiteks turujärelevalveasutustega tehtava koostööga seotud ülesandeid.

Importija

Importija on liidus asuv füüsiline või juriidiline isik, kes laseb turule väljaspool liitu toodetud digielemente sisaldava toote. Importija peab tagama, et toode vastab reitinguagentuurile, tagades muu hulgas, et tootja on täitnud tootega seotud olulised küberturvalisuse nõuded ja kehtestanud protsessid nõrkuste käsitlemise kohustuste täitmiseks; kas on läbi viidud asjakohased vastavushindamismenetlused; tehniline dokumentatsioon on koostatud; ning et toode kannab CE-märgist.

Samuti on importijal konkreetsed kohustused, kui ta arvab või tal on põhjust uskuda, et digielemente sisaldav toode ei vasta reitinguagentuurile, ning kui ta saab teada nõrkusest (nt ei lase seda toodet turule enne, kui see on uuesti nõuetega vastavusse viidud; tootja teavitamine sellistest nõrkustest). Samuti peab ta tegema koostööd turujärelevalveasutustega, et kõrvaldada küberturvalisuse riskid, mida põhjustab digielemente sisaldav toode, mille ta on turule lasknud.

Levitaja

Levitaja on tarneahelas osalev füüsiline või juriidiline isik, välja arvatud tootja või importija, kes teeb digielemente sisaldava toote turul kättesaadavaks, ilma et see mõjutaks selle omadusi. Levitaja peab kontrollima, et digielemente sisaldavad tooted kannavad CE-märgist ning et tootjad ja importijad on täitnud teatavad kohustused, sealhulgas lisanud tootele oma kontaktandmed, lisanud kasutajatele teabe ja juhised ning märkinud toe kestuse.

Turustajal on erikohustused ka siis, kui ta arvab või tal on põhjust uskuda, et digielemente sisaldav toode ei vasta reitinguagentuurile, ning kui ta saab teada nõrkusest (nt ei tee toodet kättesaadavaks enne, kui see on uuesti nõuetega vastavusse viidud; tootja teavitamine sellistest nõrkustest). Samuti peab ta tegema koostööd turujärelevalveasutustega, et kõrvaldada küberturvalisuse riskid, mida põhjustab digielemente sisaldav toode, mille ta on turul kättesaadavaks teinud.

Avatud lähtekoodiga tarkvara korrapidajad

Võttes arvesse paljude selliste digielemente sisaldavate toodete küberturvalisuse tähtsust, mis kvalifitseeruvad vaba ja avatud lähtekoodiga tarkvaraks ning mis on avaldatud, kuid mida ei tehta turul kättesaadavaks reitinguagentuuride määruse tähenduses, kehtestatakse artikliga 24 kohustused avatud lähtekoodiga tarkvara haldajatele. Need on juriidilised isikud, kes toetavad süstemaatiliselt ja püsivalt äritegevuseks mõeldud konkreetse vaba ja avatud lähtekoodiga tarkvara arendamist ning tagavad nende tarkvaratoodete elujõulisuse.

Avatud lähtekoodiga tarkvara haldajatel peab olema küberturvalisuse poliitika, et edendada turvalise toote väljatöötamist ja nõrkuste tulemuslikku käsitlemist; teha koostööd turujärelevalveasutustega ja võtta asjakohaseid parandusmeetmeid; teatada aktiivselt ärakasutatavatest nõrkustest, niivõrd kui need on seotud digielemente sisaldavate toodete arendamisega, ja tõsistest intsidentidest, niivõrd kui need mõjutavad võrgu- ja infosüsteeme, mida avatud lähtekoodiga tarkvara haldajad pakuvad selliste toodete arendamiseks.

Avatud lähtekoodiga tarkvara haldajate suhtes ei kohaldata reitinguagentuuride rikkumiste eest karistusi.

III peatükis on esitatud lisasätted selle kohta, kuidas saab digielemente sisaldavate toodete puhul kasutada õiguslikku vastavuseeldust, kui kasutatakse harmoneeritud Euroopa standardeid; milline näeb välja ELi vastavusdeklaratsioon (ja selle lihtsustatud versioon); kuidas CE-vastavusmärgist kinnitada; koostatava tehnilise dokumentatsiooni sisu; ning kohaldatavate vastavushindamismenetluste kohta.

Nagu eespool märgitud, peab tootja enne ELi vastavusdeklaratsiooni allkirjastamist, CE-märgise kinnitamist ja toote turule laskmist läbima vastavushindamismenetluse, et kontrollida, kas tema toode vastab olulistele nõuetele.

Üldiselt võib tootja valida enesehindamismenetluse (moodulil A põhinev nn sisekontrollimenetlus), teavitatud asutuse kaudu toimuva kolmanda isiku vastavushindamismenetluse või, kui see on olemas ja kohaldatav, Euroopa küberturvalisuse sertifitseerimise kava vahel. Selliseid kavasid võib kasutada reitinguagentuurile vastavuse tõendamiseks üksnes juhul, kui Euroopa Komisjon on selle võimaluse kindlaks määranud. Kui aga digielemente sisaldaval tootel on olulise või kriitilise tootekategooria põhifunktsioon, ei pruugi tootjal olla lubatud enesehindamismenetlust kasutada. Digielemente sisaldavate oluliste ja kriitilise tähtsusega toodete tootekategooriad on loetletud III ja IV lisas ning nende tehnilised kirjeldused on esitatud eraldi õigusaktis, mis on vastu võetud kooskõlas reitinguagentuuridega.

Kui toode on I klassi digielemente sisaldav oluline toode, võib tootja kasutada enesehindamismenetlust üksnes juhul, kui ta on kohaldanud harmoneeritud standardeid, ühtseid kirjeldusi (kui need on olemas) või kasutanud Euroopa küberturvalisuse sertifitseerimise kava (kui see on olemas ja kohaldatav); vastasel juhul peab ta läbima teavitatud asutuse kaudu kolmanda isiku hindamise.

II klassi oluliste toodete ja kriitilise tähtsusega toodete tootjad peavad läbima kolmanda isiku hindamise või, kui see on olemas ja kohaldatav, kasutama Euroopa küberturvalisuse sertifitseerimise kava.

Erandkorras võivad I ja II klassi digielemente sisaldavate oluliste toodete tootjad, kes on vaba ja avatud lähtekoodiga tarkvara, kasutada enesehindamist, tingimusel et nad teevad tehnilise dokumentatsiooni üldsusele kättesaadavaks.

Vastavushindamisasutused on asutused, kes teostavad vastavushindamistoiminguid. Selleks et viia läbi vastavushindamismenetlusi kooskõlas reitinguagentuuriga, peab liikmesriik teavitama komisjoni ja teisi liikmesriike asutustest, kes on volitatud tegema vastavushindamisi. Teade saadetakse teavitatud ja määratud organisatsioonide uue lähenemisviisi infosüsteemi kaudu.

Vastavushindamisasutus, kes soovib, et temast teavitataks, peab vastama mitmesuguste aspektidega seotud nõuetele, nt olema asutatud siseriikliku õiguse alusel ja olema juriidiline isik; sõltumatus toodetest, mida nad hindavad, ja erapooletus; vajaliku tehnilise pädevusega töötajate olemasolu.

Liikmesriigid peavad 11. juuniks 2026 määrama teavitavad asutused, kes vastutavad vastavushindamisasutuste hindamiseks, määramiseks ja nendest teavitamiseks vajalike menetluste kehtestamise ja rakendamise eest. Liikmesriigid võivad selliste asutuste pädevuse hindamiseks valida akrediteerimise. Teavitavad asutused teavitavad ainult neid vastavushindamisasutusi, kes vastavad kohaldatavatele nõuetele.

Kui teavitus on esitatud vastavalt artiklile 43, käsitatakse vastavushindamisasutust teavitatud asutusena. Ta tagab, et vastavushindamist tehakse proportsionaalselt, vältides ettevõtjate tarbetut koormamist. Nad võtavad oma tegevuses nõuetekohaselt arvesse ettevõtjate suurust, eelkõige mikroettevõtjate ning väikeste ja keskmise suurusega ettevõtjate puhul, sealhulgas seoses tasudega.

Iga liikmesriik peab määrama ühe või mitu turujärelevalveasutust, kes vastutavad reitinguagentuuride tõhusa jõustamise tagamise eest.

Turujärelevalvega seotud menetlused on sätestatud nii V peatükis kui ka määruses (EL) 2019/1020 turujärelevalve ja toodete vastavuse kohta, mida kohaldatakse reitinguagentuuride määruse kohaldamisalasse kuuluvate digielemente sisaldavate toodete suhtes.

Turujärelevalveasutused võivad komisjoni ning vajaduse korral CSIRTide ja ENISA toel anda ettevõtjatele, sealhulgas tootjatele, suuniseid ja nõu reitinguagentuuride määruse rakendamise kohta.

Nad võivad kasutada nii riiklikul kui ka Euroopa tasandil mitmeid menetlusi, et hinnata digielemente sisaldavaid tooteid, mis kujutavad endast märkimisväärset küberriski, ning tagada, et asjaomased ettevõtjad võtavad parandus- või piiravaid meetmeid. Turujärelevalveasutused peavad teavitama komisjoni ja teisi liikmesriike meetmetest, mida nad paluvad ettevõtjatel võtta. Eri liikmesriikide turujärelevalveasutused teevad omavahel koostööd ning võivad teatavate digielemente sisaldavate toodete puhul võtta ühismeetmeid ja samaaegseid koordineeritud kontrollimeetmeid (nt lauskontrolle).

Reitinguagentuuri ühtseks kohaldamiseks luuakse ka halduskoostöörühm, mis koosneb erinevate turujärelevalveasutuste esindajatest.

VI peatükiga antakse komisjonile õigus võtta vastu täiendavaid õigusakte (delegeeritud õigusaktid ja rakendusaktid), et täiendada reitinguagentuuri või sätestada selle kohaldamise ühtsed tingimused (nt täpsustades teatavaid mõisteid). Lisateave rakendusaktide ja delegeeritud õigusaktide kohta.

Komisjon on juba vastu võtnud kaks täiendavat õigusakti:

• Komisjoni 29. juuli 2025. aasta delegeeritud määrus (EL) 2025/1535, millega täiendatakse Euroopa Parlamendi ja nõukogu määrust (EL) 2024/2847 seoses teatavate Euroopa Parlamendi ja nõukogu määruse (EL) nr 168/2013 kohaldamisalasse kuuluvate digielemente sisaldavate toodete väljajätmisega kõnealuse määruse kohaldamisalast
• Komisjoni rakendusmäärus (EL) 2025/2392, 28. november 2025, digielemente sisaldavate oluliste ja kriitilise tähtsusega toodete kategooriate tehnilise kirjelduse kohta vastavalt Euroopa Parlamendi ja nõukogu määrusele (EL) 2024/2847

VII peatükis kehtestatakse konfidentsiaalsuseeskirjad, mida kõik reitinguagentuuride kohaldamises osalevad pooled peavad järgima, ning rikkumiste korral kohaldatavad karistused, mis sätestatakse riiklikul tasandil.

Eelkõige ei tohi mikro- või väikeettevõtjateks kvalifitseeruvaid tootjaid trahvida nõrkustest ja tõsistest intsidentidest teatamise 24 tunni pikkusest tähtajast mittekinnipidamise eest; ning avatud lähtekoodiga tarkvara haldajad reitinguagentuuride mis tahes rikkumiste korral.

Reitinguagentuur jõustus 10. detsembril 2024. Selle peamisi sätteid hakatakse kohaldama alates 11. detsembrist 2027. IV peatükki vastavushindamisasutustest teavitamise kohta kohaldatakse alates 11. juunist 2026, samas kui artiklis 14 sätestatud aruandluskohustusi kohaldatakse alates 11. septembrist 2026.

Küberturvalisuse nõuete kohta välja antud ELi tüübihindamissertifikaadid ja heakskiitvad otsused kehtivad kuni 11. juunini 2028, välja arvatud juhul, kui need aeguvad enne seda kuupäeva.

Enne 11. detsembrit 2027 turule lastud digielemente sisaldavate toodete suhtes kohaldatakse reitinguagentuuride määrust üksnes juhul, kui neid on alates sellest kuupäevast oluliselt muudetud. Aruandluskohustusi kohaldatakse kõigi digielemente sisaldavate toodete suhtes, mis on liidu turul kättesaadavaks tehtud, sealhulgas nende suhtes, mis on juba turule lastud enne 11. detsembrit 2027.

I lisas on loetletud olulised küberturvalisuse nõuded ja see jaguneb kaheks osaks.

I osas käsitletakse digielemente sisaldavate toodete omadusi: digielemente sisaldava toote turule laskmisel tagavad tootjad, et see on projekteeritud, arendatud ja toodetud kooskõlas selliste nõuetega.

II osas käsitletakse nõrkuste käsitlemise nõudeid: tootjad tagavad digielemente sisaldava toote turule laskmisel ja toe kestuse ajal, et kõnealuse toote, sealhulgas selle komponentide nõrkusi käsitletakse tulemuslikult ja kooskõlas selliste nõuetega.

I lisa täistekst

Tootjad peavad tagama, et digielemente sisaldavate toodetega on kaasas kasutajale esitatav teave ja juhised keeles, mis on kasutajatele ja turujärelevalveasutustele kergesti arusaadav. Need peavad olema selged, arusaadavad ja loetavad. Need võimaldavad digielemente sisaldavate toodete turvalist paigaldamist, käitamist ja kasutamist.

II lisa täistekst

Kui digielemente sisaldaval tootel on III ja IV lisas sätestatud tootekategooria põhifunktsioon, käsitatakse seda digielemente sisaldava olulise või kriitilise tähtsusega tootena ning selle suhtes kohaldatakse vastavaid vastavushindamismenetlusi.

Lugege III lisa, et teada saada, millised tooted on olulised

Lugege IV lisa, et teada saada, millised tooted on kriitilise tähtsusega

Lugege selliste toodete tehnilisi kirjeldusi

Kui kohaldatava vastavushindamismenetlusega on tõendatud digielemente sisaldava toote vastavus olulistele küberturvalisuse nõuetele, koostavad tootjad ELi vastavusdeklaratsiooni. V ja VI lisas on esitatud sellise deklaratsiooni näidisstruktuur, sealhulgas lihtsustatud versioon.

Vt V lisa ELi vastavusdeklaratsiooni kohta.

Lihtsustatud ELi vastavusdeklaratsiooni kohta vt VI lisa.

Enne digielemente sisaldava toote turule laskmist koostavad tootjad tehnilise dokumentatsiooni ja hoiavad seda seejärel turujärelevalveasutustele kättesaadavana. VI lisa sisaldab miinimumelemente, mida tehniline dokumentatsioon peab sisaldama.

VII lisa

Enne digielemente sisaldava toote turule laskmist viib tootja läbi või laseb läbi viia artiklis 32 osutatud valitud vastavushindamismenetlused.

VIII lisas on sätestatud erinevad menetlused, mida tootja võib sõltuvalt artiklist 32 kasutada. Need on järgmised:

• sisekontrollimenetlus (põhineb moodulil A);
• ELi tüübihindamismenetlus (põhineb moodulil B), millele järgneb tootmise sisekontrollil põhinev vastavus ELi tüübile (põhineb moodulil C);
• VIII lisas sätestatud täielikul kvaliteedi tagamisel põhinev vastavushindamine (põhineb moodulil H).

Loe VIII lisa

Korduma kippuvad küsimused sisaldavad ka lihtsustatud selgitust erinevate vastavushindamismoodulite kohta.