Akt o kibernetski odpornosti – povzetek zakonodajnega besedila

Proizvod programske ali strojne opreme in njegove rešitve za daljinsko obdelavo podatkov, vključno s komponentami programske ali strojne opreme, ki se dajejo na trg ločeno.

Obdelava podatkov na daljavo, za katero je programsko opremo zasnoval in razvil proizvajalec ali za katero je odgovoren proizvajalec in brez katere izdelek z digitalnimi elementi ne bi mogel opravljati ene od svojih funkcij.

Proizvajalec, pooblaščeni zastopnik, uvoznik, distributer ali druga fizična ali pravna oseba, za katero veljajo obveznosti v zvezi s proizvodnjo izdelkov z digitalnimi elementi ali omogočanjem dostopnosti izdelkov z digitalnimi elementi na trgu v skladu s to uredbo.

Fizična ali pravna oseba, ki razvija ali proizvaja izdelke z digitalnimi elementi ali za katero se izdelki z digitalnimi elementi oblikujejo, razvijajo ali proizvajajo in ki jih trži pod svojim imenom ali blagovno znamko, bodisi za plačilo, monetizacijo ali brezplačno.

Pravna oseba, ki ni proizvajalec in katere namen ali cilj je sistematično in trajno zagotavljati podporo za razvoj posebnih izdelkov z digitalnimi elementi, ki se štejejo za prosto in odprtokodno programsko opremo ter so namenjeni komercialnim dejavnostim, ter ki zagotavlja sposobnost preživetja teh izdelkov.

Fizična ali pravna oseba s sedežem v Uniji, ki jo je proizvajalec pisno pooblastil, da v njegovem imenu izvaja določene naloge.

Fizična ali pravna oseba s sedežem v Uniji, ki daje na trg izdelek z digitalnimi elementi, ki nosi ime ali blagovno znamko fizične ali pravne osebe s sedežem zunaj Unije.

Fizična ali pravna oseba v dobavni verigi, ki ni proizvajalec ali uvoznik in ki omogoči dostopnost izdelka z digitalnimi elementi na trgu Unije, ne da bi to vplivalo na njegove lastnosti.

prvo omogočanje dostopnosti izdelka z digitalnimi elementi na trgu Unije.

Dobava izdelka z digitalnimi elementi za distribucijo ali uporabo na trgu Unije v okviru gospodarske dejavnosti, bodisi odplačno ali neodplačno.

Postopek preverjanja, ali so izpolnjene bistvene zahteve glede kibernetske varnosti iz Priloge I.

Organ za ugotavljanje skladnosti, imenovan v skladu s členom 43 in drugo ustrezno harmonizacijsko zakonodajo Unije.

Standard, ki ga je sprejela evropska organizacija za standardizacijo na podlagi zahteve Komisije za uporabo harmonizacijske zakonodaje Unije.

Poglavje I določa področje uporabe Uredbe, opredeljuje ključne pojme in pojme ter pojasnjuje medsebojni vpliv med bonitetno agencijo in drugo zakonodajo Unije.

Bonitetna agencija določa pravila, ki jih morajo gospodarski subjekti spoštovati, če želijo na trgu Unije omogočiti dostopnost izdelkov z digitalnimi elementi. Zlasti določa bistvene zahteve glede kibernetske varnosti, ki jih morajo proizvajalci izpolnjevati med zasnovo, razvojem in proizvodnjo svojih izdelkov z digitalnimi elementi ter v času, ko naj bi se ti izdelki uporabljali. Izdelki z digitalnimi elementi spadajo na področje uporabe bonitetne agencije, kadar so dostopni na trgu in njihov predvideni namen ali razumno predvidljiva uporaba vključuje neposredno ali posredno logično ali fizično podatkovno povezavo z napravo ali omrežjem.

Za izdelke z digitalnimi elementi, ki niso dostopni na trgu, tj. niso dobavljeni v okviru gospodarske dejavnosti, bonitetna agencija ne velja. V uvodni izjavi 18 je nadalje pojasnjeno, kdaj je brezplačna in odprtokodna programska oprema dostopna na trgu.

Poleg tega so nekateri izdelki z digitalnimi elementi izključeni iz področja uporabe akta o kibernetski odpornosti, zlasti kadar so zajeti v drugi zakonodaji Unije.

Obveznosti proizvajalca

Glavne obveznosti bonitetne agencije so namenjene proizvajalcem, tj. fizičnim ali pravnim osebam, ki dajejo izdelek z digitalnimi elementi na trg pod svojim imenom ali blagovno znamko. Take obveznosti so določene v členu 13, ki ga dopolnjujejo različne priloge (zlasti Priloga I o bistvenih zahtevah glede kibernetske varnosti).

Proizvajalec mora pri zasnovi, razvoju in proizvodnji izdelka z digitalnimi elementi zagotoviti, da izpolnjuje bistvene zahteve glede kibernetske varnosti. V ta namen mora proizvajalec izvesti oceno tveganja za kibernetsko varnost, ki je podlaga za izvajanje bistvenih zahtev in jo je treba upoštevati v fazah načrtovanja, zasnove, razvoja, proizvodnje, dobave in vzdrževanja izdelka.

Če proizvajalec integrira komponente tretjih oseb, mora ravnati s potrebno skrbnostjo, da te komponente ne ogrožajo kibernetske varnosti njegovega izdelka z digitalnimi elementi.

V tehnično dokumentacijo je treba vključiti oceno tveganja za kibernetsko varnost in sredstva, ki jih proizvajalec izbere za izvajanje bistvenih zahtev (npr. standardov ali drugih tehničnih ukrepov). Proizvajalec mora dokumentacijo hraniti tako, da je na voljo organom za nadzor trga, ki jo lahko zahtevajo v okviru svojih izvršilnih dejavnosti.

Proizvajalec mora pred dajanjem izdelka z digitalnimi elementi na trg izvesti izbrani postopek ugotavljanja skladnosti (za več podrobnosti o ugotavljanju skladnosti glej poglavje III) ter, če je uspešen, pripraviti izjavo EU o skladnosti in na svoj izdelek namestiti oznako CE.

Skupaj z izdelkom z digitalnimi elementi bi bilo treba zagotoviti tudi naslednje informacije:

• tip, serija ali serijska številka ali drug identifikacijski element;
• svoje ime, registrirano trgovsko ime ali registrirano blagovno znamko;
• poštni naslov, elektronski naslov ali drugi digitalni kontaktni podatki;
• po potrebi spletno mesto, na katerem je proizvajalec dosegljiv;
• informacije in navodila za uporabnika, kot je določeno v Prilogi II, vključno s končnim datumom obdobja podpore.

Proizvajalec mora določiti obdobje podpore za svoj izdelek z digitalnimi elementi, v katerem bo zagotovil učinkovito obravnavanje ranljivosti tega izdelka v skladu z zahtevami glede obravnavanja ranljivosti (glej Prilogo I). Končni datum obdobja podpore (vključno z mesecem in letom) mora biti jasno in razumljivo določen ob nakupu.

Obveznosti poročanja

Ko je proizvod dan na trg, mora proizvajalec priglasiti aktivno izkoriščene ranljivosti in resne incidente, ki vplivajo na varnost proizvoda in za katere izve.

Proizvajalec mora poslati uradna obvestila skupini za odzivanje na incidente na področju računalniške varnosti (CSIRT) države članice, v kateri ima glavni sedež, in agenciji ENISA v naslednjih rokih:

• 24 ur za zgodnje opozarjanje;
• 72 ur za "glavno" obvestilo;
• končno poročilo najpozneje 14 dni po tem, ko je na voljo popravni ali blažilni ukrep za aktivno izrabljene ranljivosti;
• končno poročilo v enem mesecu od 72. predložitve za resne incidente.

Proizvajalec priglasitve predloži prek enotne platforme za poročanje bonitetnih agencij, ki jo je vzpostavila in jo vzdržuje Agencija Evropske unije za kibernetsko varnost (ENISA). Skupina CSIRT, ki je prvotno prejela priglasitev, bo priglasitev nadalje posredovala skupinam CSIRT drugih držav članic, na ozemlju katerih je bil izdelek z digitalnimi elementi dan na voljo.

Obveznosti poročanja se uporabljajo za vse izdelke z digitalnimi elementi, katerih dostopnost na trgu Unije je bila omogočena, vključno s tistimi, ki so že bili dani na trg pred 11. decembrom 2027.

Prav tako lahko vsaka fizična ali pravna oseba prek enotne platforme bonitetnih agencij za poročanje prostovoljno priglasi ranljivosti, kibernetske grožnje, incidente in skorajšnje incidente.

Pooblaščeni zastopnik

Proizvajalec lahko s pisnim pooblastilom imenuje pooblaščenega zastopnika za opravljanje nekaterih nalog proizvajalca. Ti lahko na primer vključujejo naloge, povezane s sodelovanjem z organi za nadzor trga.

Uvoznik

Uvoznik je fizična ali pravna oseba s sedežem v Uniji, ki daje na trg izdelek z digitalnimi elementi, proizveden zunaj Unije. Uvoznik mora zagotoviti, da je izdelek skladen z bonitetno agencijo, med drugim tako, da zagotovi, da je proizvajalec izpolnil bistvene zahteve glede kibernetske varnosti, povezane z izdelkom, in da ima vzpostavljene postopke za izpolnjevanje obveznosti glede obravnavanja ranljivosti; da so bili izvedeni ustrezni postopki ugotavljanja skladnosti; ali je bila pripravljena tehnična dokumentacija; in da ima proizvod oznako CE.

Uvoznik ima tudi posebne obveznosti, kadar meni ali utemeljeno domneva, da izdelek z digitalnimi elementi ni skladen z bonitetno agencijo, in ko izve za ranljivost (npr. tega izdelka ne da na trg, dokler ni ponovno skladen z zahtevami; obveščanje proizvajalca o takih ranljivostih). Sodelovati mora tudi z organi za nadzor trga, da se odpravijo tveganja za kibernetsko varnost, ki jih predstavlja izdelek z digitalnimi elementi, ki ga je dal na trg.

Distributer

Distributer je fizična ali pravna oseba v dobavni verigi, ki ni proizvajalec ali uvoznik in ki omogoča dostopnost izdelka z digitalnimi elementi na trgu, ne da bi to vplivalo na njegove lastnosti. Distributer mora preveriti, ali imajo izdelki z digitalnimi elementi oznako CE ter ali so proizvajalci in uvozniki izpolnili nekatere obveznosti, vključno s tem, da so na izdelek dodali svoje kontaktne podatke, priložili informacije in navodila uporabnikom ter navedli obdobje podpore.

Distributer ima tudi posebne obveznosti, kadar meni ali utemeljeno domneva, da izdelek z digitalnimi elementi ni skladen z bonitetno agencijo, in ko izve za ranljivost (npr. izdelka ne da na voljo, dokler ni ponovno skladen z zahtevami; obveščanje proizvajalca o takih ranljivostih). Sodelovati mora tudi z organi za nadzor trga, da se odpravijo tveganja za kibernetsko varnost, ki jih predstavlja izdelek z digitalnimi elementi, katerega dostopnost na trgu je omogočil.

Upravljavci odprtokodne programske opreme

Ob upoštevanju pomena številnih izdelkov z digitalnimi elementi, ki se štejejo za prosto in odprtokodno programsko opremo ter so objavljeni, vendar niso dostopni na trgu v smislu akta o kibernetski varnosti, za kibernetsko varnost člen 24 uvaja obveznosti za upravljavce odprtokodne programske opreme. To so pravne osebe, ki sistematično in trajno podpirajo razvoj posebne brezplačne in odprtokodne programske opreme, namenjene komercialnim dejavnostim, ter zagotavljajo sposobnost preživetja te programske opreme.

Upravljavci odprtokodne programske opreme morajo imeti politiko kibernetske varnosti za spodbujanje razvoja varnega izdelka in učinkovitega obravnavanja šibkih točk; sodelovanje z organi za nadzor trga in sprejemanje ustreznih korektivnih ukrepov; poročanje o aktivno izrabljenih ranljivostih, kolikor so vključene v razvoj izdelkov z digitalnimi elementi, in resnih incidentih, kolikor vplivajo na omrežne in informacijske sisteme, ki jih zagotavljajo upravljavci odprtokodne programske opreme za razvoj takih izdelkov.

Upravljavci odprtokodne programske opreme niso kaznovani za kršitve bonitetne agencije.

poglavje III vsebuje dodatne določbe o tem, kako lahko za izdelke z digitalnimi elementi velja pravna domneva o skladnosti, če se uporabljajo harmonizirani evropski standardi; kakšna je izjava EU o skladnosti (in njena poenostavljena različica); kako namestiti oznako CE; vsebino tehnične dokumentacije, ki jo je treba pripraviti; in o veljavnih postopkih ugotavljanja skladnosti.

Kot je navedeno zgoraj, mora proizvajalec izvesti postopek ugotavljanja skladnosti, da preveri, ali njegov proizvod izpolnjuje bistvene zahteve, preden lahko podpiše izjavo EU o skladnosti, namesti oznako CE in da proizvod na trg.

Na splošno lahko proizvajalec izbira med postopkom samoocenjevanja (tako imenovani postopek notranje kontrole na podlagi modula A), postopkom ugotavljanja skladnosti s strani tretje osebe prek priglašenega organa ali, kadar je na voljo in ustrezno, evropsko certifikacijsko shemo za kibernetsko varnost. Take sheme se lahko uporabljajo za dokazovanje skladnosti z bonitetno agencijo le, če je to možnost določila Evropska komisija. Kadar pa ima izdelek z digitalnimi elementi osnovno funkcionalnost pomembne ali kritične kategorije izdelkov, proizvajalcu morda ni dovoljeno uporabiti postopka samoocenjevanja. Kategorije izdelkov pomembnih in kritičnih izdelkov z digitalnimi elementi so navedene v prilogah III in IV, njihovi tehnični opisi pa so vključeni v ločen pravni akt, sprejet v skladu z bonitetno agencijo.

Kadar je izdelek pomemben izdelek z digitalnimi elementi razreda I, lahko proizvajalec postopek samoocenjevanja uporabi le, če je uporabil harmonizirane standarde, skupne specifikacije (če so na voljo) ali evropsko certifikacijsko shemo za kibernetsko varnost (če je na voljo in se uporablja); v nasprotnem primeru ga mora oceniti tretja oseba prek priglašenega organa.

Proizvajalci pomembnih izdelkov razreda II in kritičnih izdelkov morajo opraviti oceno, ki jo opravi tretja oseba, ali, kadar je to na voljo in ustrezno, uporabiti evropsko certifikacijsko shemo za kibernetsko varnost.

Izjemoma lahko proizvajalci pomembnih izdelkov z digitalnimi elementi razredov I in II, ki so brezplačna in odprtokodna programska oprema, uporabijo samoocenjevanje, če dajo tehnično dokumentacijo na voljo javnosti.

Organi za ugotavljanje skladnosti so organi, ki izvajajo dejavnosti ugotavljanja skladnosti. Za izvajanje postopkov ugotavljanja skladnosti v skladu z bonitetno agencijo mora država članica Komisiji in drugim državam članicam priglasiti organe, pooblaščene za izvajanje ugotavljanja skladnosti. Obvestilo se pošlje prek informacijskega sistema priglašenih in imenovanih organizacij novega pristopa.

Organ za ugotavljanje skladnosti, ki želi biti priglašen, mora izpolnjevati zahteve, povezane z vrsto vidikov, npr. biti ustanovljen v skladu z nacionalno zakonodajo in biti pravna oseba; so neodvisni od proizvodov, ki jih ocenjujejo, in nepristranski; imeti osebje s potrebno tehnično usposobljenostjo.

Države članice morajo do 11. junija 2026 imenovati priglasitvene organe, pristojne za vzpostavitev in izvajanje potrebnih postopkov za ocenjevanje, imenovanje in priglasitev organov za ugotavljanje skladnosti. Države članice se lahko odločijo za akreditacijo, da ocenijo usposobljenost takih organov. Priglasitveni organi priglasijo samo tiste organe za ugotavljanje skladnosti, ki izpolnjujejo veljavne zahteve.

Ko je priglasitev predložena v skladu s členom 43, se organ za ugotavljanje skladnosti šteje za priglašeni organ. Zagotovi, da se ugotavljanje skladnosti izvaja sorazmerno, pri čemer se izogne nepotrebnim obremenitvam za gospodarske subjekte. Pri opravljanju svojih dejavnosti ustrezno upoštevajo velikost podjetij, zlasti mikropodjetij ter malih in srednjih podjetij, tudi v zvezi s pristojbinami.

Vsaka država članica mora imenovati enega ali več organov za nadzor trga, ki so odgovorni za zagotavljanje učinkovitega izvrševanja bonitetnih agencij.

Postopki v zvezi z nadzorom trga so določeni v poglavju V in Uredbi (EU) 2019/1020 o nadzoru trga in skladnosti izdelkov, ki se uporablja za izdelke z digitalnimi elementi, ki spadajo na področje uporabe bonitetne agencije.

Organi za nadzor trga lahko ob podpori Komisije ter po potrebi skupin CSIRT in agencije ENISA gospodarskim subjektom, vključno s proizvajalci, zagotovijo smernice in nasvete o izvajanju bonitetnih agencij.

Uporabijo lahko vrsto postopkov, tako na nacionalni kot na evropski ravni, za ocenjevanje izdelkov z digitalnimi elementi, ki predstavljajo znatno tveganje za kibernetsko varnost, in za zagotovitev, da zadevni gospodarski subjekti sprejmejo popravne ali omejevalne ukrepe. Organi za nadzor trga morajo Komisijo in druge države članice obveščati o ukrepih, ki jih zahtevajo od gospodarskih subjektov. Organi za nadzor trga različnih držav članic med seboj sodelujejo ter lahko izvajajo skupne dejavnosti in sočasne usklajene nadzorne ukrepe (kot so usklajene preiskave potrošniških trgov) za določene izdelke z digitalnimi elementi.

Za enotno uporabo bonitetnih agencij se ustanovi tudi skupina za upravno sodelovanje (ADCO), ki jo sestavljajo predstavniki različnih organov za nadzor trga.

Poglavje VI pooblašča Komisijo, da sprejme dodatne pravne akte (delegirane in izvedbene akte) za dopolnitev bonitetne agencije ali določitev enotnih pogojev za njeno uporabo (npr. z nadaljnjo opredelitvijo nekaterih pojmov). Več o izvedbenih in delegiranih aktih.

Komisija je že sprejela dva dodatna akta, in sicer:

• Delegirana uredba Komisije (EU) 2025/1535 z dne 29. julija 2025 o dopolnitvi Uredbe (EU) 2024/2847 Evropskega parlamenta in Sveta v zvezi z izključitvijo nekaterih izdelkov z digitalnimi elementi, ki spadajo na področje uporabe Uredbe (EU) št. 168/2013 Evropskega parlamenta in Sveta, iz uporabe navedene uredbe
• Izvedbena uredba Komisije (EU) 2025/2392 z dne 28. novembra 2025 o tehničnem opisu kategorij pomembnih in kritičnih izdelkov z digitalnimi elementi v skladu z Uredbo (EU) 2024/2847 Evropskega parlamenta in Sveta

Poglavje VII določa pravila o zaupnosti, ki jih morajo spoštovati vse strani, vključene v uporabo bonitetnih agencij, ter o kaznih za kršitve, ki se določijo na nacionalni ravni.

Proizvajalci, ki se štejejo za mikropodjetja ali mala podjetja, zlasti ne smejo biti kaznovani zaradi nespoštovanja 24-urnega roka za poročanje o ranljivostih in resnih incidentih; in upravitelje odprtokodne programske opreme za morebitne kršitve bonitetne agencije.

Bonitetna agencija je začela veljati 10. decembra 2024. Njene glavne določbe se bodo začele uporabljati 11. decembra 2027. Poglavje IV o priglasitvi organov za ugotavljanje skladnosti se bo uporabljalo od 11. junija 2026, obveznosti poročanja iz člena 14 pa od 11. septembra 2026.

Certifikati o EU-pregledu tipa in sklepi o odobritvi, izdani v zvezi z zahtevami glede kibernetske varnosti, ostanejo veljavni do 11. junija 2028, razen če potečejo pred navedenim datumom.

Za izdelke z digitalnimi elementi, ki so bili dani na trg pred 11. decembrom 2027, se bonitetna agencija uporablja le, če se od navedenega datuma bistveno spreminjajo. Obveznosti poročanja se uporabljajo za vse izdelke z digitalnimi elementi, katerih dostopnost na trgu Unije je bila omogočena, vključno s tistimi, ki so že bili dani na trg pred 11. decembrom 2027.

V Prilogi I so navedene bistvene zahteve glede kibernetske varnosti, razdeljena pa je na dva oddelka.

Del I se nanaša na lastnosti izdelkov z digitalnimi elementi: proizvajalci pri dajanju izdelka z digitalnimi elementi na trg zagotovijo, da je bil zasnovan, razvit in proizveden v skladu s takimi zahtevami.

Del II se nanaša na zahteve glede obravnavanja ranljivosti: proizvajalci pri dajanju izdelka z digitalnimi elementi na trg in v obdobju podpore zagotovijo, da se ranljivosti tega izdelka, vključno z njegovimi sestavnimi deli, obravnavajo učinkovito in v skladu s takimi zahtevami.

Celotna Priloga I

Proizvajalci morajo zagotoviti, da so izdelkom z digitalnimi elementi priložene informacije in navodila za uporabnika, ki se zagotovijo v jeziku, ki ga uporabniki in organi za nadzor trga brez težav razumejo. Biti morajo jasni, razumljivi, razumljivi in čitljivi. Omogočajo varno namestitev, delovanje in uporabo izdelkov z digitalnimi elementi.

Celotna Priloga II

Kadar ima izdelek z digitalnimi elementi osnovno funkcionalnost kategorije izdelkov iz prilog III in IV, se šteje za pomemben ali kritičen izdelek z digitalnimi elementi in zanj veljajo ustrezni postopki ugotavljanja skladnosti.

Preberite Prilogo III, če želite izvedeti, kateri izdelki so pomembni

Preberite Prilogo IV, če želite izvedeti, kateri izdelki so kritični

Preberite tehnične opise takšnih izdelkov

Kadar je bila skladnost izdelka z digitalnimi elementi z bistvenimi zahtevami glede kibernetske varnosti dokazana z veljavnim postopkom ugotavljanja skladnosti, proizvajalci pripravijo izjavo EU o skladnosti. Prilogi V in VI določata vzorčno strukturo take izjave, vključno s poenostavljeno različico.

Za izjavo EU o skladnosti glej Prilogo V.

Za poenostavljeno izjavo EU o skladnosti glej Prilogo VI.

Proizvajalci pred dajanjem izdelka z digitalnimi elementi na trg pripravijo tehnično dokumentacijo in jo nato hranijo, da je na voljo organom za nadzor trga. Priloga VI vsebuje minimalne elemente, ki jih mora vsebovati tehnična dokumentacija.

Preberite Prilogo VII

Proizvajalci pred dajanjem izdelka z digitalnimi elementi na trg izvedejo izbrane postopke ugotavljanja skladnosti iz člena 32 ali za njihovo izvedbo pooblastijo tretjo osebo.

Priloga VIII določa različne postopke, ki so lahko na voljo proizvajalcu glede na člen 32. To so:

• postopek notranje kontrole (na podlagi modula A);
• postopek EU-pregleda tipa (na podlagi modula B), ki mu sledi skladnost z EU-tipom na podlagi notranjega nadzora proizvodnje (na podlagi modula C);
• ugotavljanje skladnosti na podlagi popolnega zagotavljanja kakovosti (na podlagi modula H) iz Priloge VIII.

Preberite Prilogo VIII

Pogosta vprašanja vsebujejo tudi poenostavljeno razlago različnih modulov ugotavljanja skladnosti.