Kapitel VIII – ÖVERGÅNGS- OCH SLUTBESTÄMMELSER

CRA-förordningen, Kapitel VIII.

1.Lagtext#

Artikel 66 – Ändring av förordning (EU) 2019/1020#

I bilaga I till förordning (EU) 2019/1020 ska följande punkt läggas till:

”72.

Europaparlamentets och rådets förordning (EU) 2024/2847 (*1).

Artikel 67 – Ändring av direktiv (EU) 2020/1828#

I bilaga I till direktiv (EU) 2020/1828 ska följande punkt läggas till:

”69.

Europaparlamentets och rådets förordning (EU) 2024/2847 (*2).

Artikel 68 – Ändringar av förordning (EU) nr 168/2013#

I del C1, i tabellen i bilaga II till Europaparlamentets och rådets förordning (EU) nr 168/2013 (38) ska följande post läggas till:

”

Skydd av fordon mot cyberattacker

”

Artikel 69 – Övergångsbestämmelser#

1. EU-typkontrollintyg och beslut om godkännande som utfärdats avseende cybersäkerhetskrav för produkter med digitala element som omfattas av annan unionsharmoniseringslagstiftning än denna förordning ska fortsätta att gälla till och med den 11 juni 2028, såvida de inte löper ut före den dagen, eller något annat anges i sådan annan unionsharmoniseringslagstiftning, i vilket fall de förblir giltiga enligt den lagstiftningen.

2. Produkter med digitala element som har släppts ut på marknaden före den 11 december 2027 ska omfattas av kraven som anges i denna förordning endast om de, från och med den dagen, är föremål för en väsentlig ändring.

3. Som avvikelse från punkt 2 i denna artikel ska de skyldigheter som fastställs i artikel 14 tillämpas på alla produkter med digitala element som omfattas av denna förordnings tillämpningsområde och som har släppts ut på marknaden före den 11 december 2027.

Artikel 70 – Utvärdering och översyn#

1. Kommissionen ska senast den 11 december 2030 och därefter vart fjärde år, överlämna en rapport om utvärderingen och översynen av denna förordning till Europaparlamentet och rådet. Dessa rapporter ska offentliggöras.

2. Senast den 11 september 2028 ska kommissionen, efter samråd med Enisa och CSIRT-nätverket, lägga fram en rapport för Europaparlamentet och rådet med en bedömning av ändamålsenligheten hos den gemensamma rapporteringsplattform som anges i artikel 16 samt effekterna av tillämpningen av de cybersäkerhetsrelaterade skäl som avses i artikel 16.2 av de CSIRT-enheter som utsetts till samordnare för den gemensamma rapporteringsplattformens ändamålsenlighet när det gäller att snabbt sprida mottagna anmälningar till andra relevanta CSIRT-enheter.

Artikel 71 – Ikraftträdande och tillämpning#

1. Denna förordning träder i kraft den tjugonde dagen efter det att den har offentliggjorts i Europeiska unionens officiella tidning.

2. Denna förordning ska tillämpas från och med den 11 december 2027.

Artikel 14 ska dock tillämpas från och med den 11 september 2026 och kapitel IV (artiklarna 35–51) ska tillämpas från och med den 11 juni 2026.

Denna förordning är till alla delar bindande och direkt tillämplig i alla medlemsstater.

Underskrift

Utfärdad i Strasbourg den 23 oktober 2024.

På Europaparlamentets vägnar

R. METSOLA

Ordförande

På rådets vägnar

ZSIGMOND B. P.

Ordförande

Fotnoter

(1) EUT C 100, 16.3.2023, s. 101.

(2) Europaparlamentets ståndpunkt av den 12 mars 2024 (ännu inte offentliggjord i EUT) och rådets beslut av den 10 oktober 2024.

(3) Europaparlamentets och rådets förordning (EU) 2019/881 av den 17 april 2019 om Enisa (Europeiska unionens cybersäkerhetsbyrå) och om cybersäkerhetscertifiering av informations- och kommunikationsteknik och om upphävande av förordning (EU) nr 526/2013 (cybersäkerhetsakten) (EUT L 151, 7.6.2019, s. 15).

(4) Europaparlamentets och rådets direktiv (EU) 2022/2555 av den 14 december 2022 om åtgärder för en hög gemensam cybersäkerhetsnivå i hela unionen, om ändring av förordning (EU) nr 910/2014 och direktiv (EU) 2018/1972 och om upphävande av direktiv (EU) 2016/1148 (NIS 2-direktivet) (EUT L 333, 27.12.2022, s. 80).

(5) Kommissionens rekommendation 2003/361/EG av den 6 maj 2003 om definitionen av mikroföretag samt små och medelstora företag (EUT L 124, 20.5.2003, s. 36).

(6) EUT C 67, 8.2.2022, s. 81.

(7) Europaparlamentets och rådets direktiv 2014/24/EU av den 26 februari 2014 om offentlig upphandling och om upphävande av direktiv 2004/18/EG (EUT L 94, 28.3.2014, s. 65).

(8) Europaparlamentets och rådets direktiv 2014/25/EU av den 26 februari 2014 om upphandling av enheter som är verksamma på områdena vatten, energi, transporter och posttjänster och om upphävande av direktiv 2004/17/EG (EUT L 94, 28.3.2014, s. 243).

(9) Europaparlamentets och rådets förordning (EU) 2017/745 av den 5 april 2017 om medicintekniska produkter, om ändring av direktiv 2001/83/EG, förordning (EG) nr 178/2002 och förordning (EG) nr 1223/2009 och om upphävande av rådets direktiv 90/385/EEG och 93/42/EEG (EUT L 117, 5.5.2017, s. 1).

(10) Europaparlamentets och rådets förordning (EU) 2017/746 av den 5 april 2017 om medicintekniska produkter för in vitro-diagnostik och om upphävande av direktiv 98/79/EG och kommissionens beslut 2010/227/EU (EUT L 117, 5.5.2017, s. 176).

(11) Europaparlamentets och rådets förordning (EU) 2019/2144 av den 27 november 2019 om krav för typgodkännande av motorfordon och deras släpvagnar samt de system, komponenter och separata tekniska enheter som är avsedda för sådana fordon, med avseende på deras allmänna säkerhet och skydd för personer i fordonet och oskyddade trafikanter, om ändring av Europaparlamentets och rådets förordning (EU) 2018/858 och om upphävande av Europaparlamentets och rådets förordningar (EG) nr 78/2009, (EG) nr 79/2009 och (EG) nr 661/2009 samt kommissionens förordningar (EG) nr 631/2009, (EU) nr 406/2010, (EU) nr 672/2010, (EU) nr 1003/2010, (EU) nr 1005/2010, (EU) nr 1008/2010, (EU) nr 1009/2010, (EU) nr 19/2011, (EU) nr 109/2011, (EU) nr 458/2011, (EU) nr 65/2012, (EU) nr 130/2012, (EU) nr 347/2012, (EU) nr 351/2012, (EU) nr 1230/2012 och (EU) 2015/166 (EUT L 325, 16.12.2019, s. 1).

(12) EUT L 82, 9.3.2021, s. 30.

(13) Europaparlamentets och rådets förordning (EU) 2018/1139 av den 4 juli 2018 om fastställande av gemensamma bestämmelser på det civila luftfartsområdet och inrättande av Europeiska unionens byrå för luftfartssäkerhet, och om ändring av Europaparlamentets och rådets förordningar (EG) nr 2111/2005, (EG) nr 1008/2008, (EU) nr 996/2010, (EU) nr 376/2014 och direktiv 2014/30/EU och 2014/53/EU, samt om upphävande av Europaparlamentets och rådets förordningar (EG) nr 552/2004 och (EG) nr 216/2008 och rådets förordning (EEG) nr 3922/91 (EUT L 212, 22.8.2018, s. 1).

(14) Kommissionens delegerade förordning (EU) 2022/30 av den 29 oktober 2021 om komplettering av Europaparlamentets och rådets direktiv 2014/53/EU vad gäller tillämpningen av de väsentliga krav som avses i artikel 3.3 d, e och f i det direktivet (EUT L 7, 12.1.2022, s. 6).

(15) Europaparlamentets och rådets direktiv 2014/53/EU av den 16 april 2014 om harmonisering av medlemsstaternas lagstiftning om tillhandahållande på marknaden av radioutrustning och om upphävande av direktiv 1999/5/EG (EUT L 153, 22.5.2014, s. 62).

(16) Europaparlamentets och rådets direktiv (EU) 2024/2853 av den 23 oktober 2024 om skadeståndsansvar för produkter med säkerhetsbrister och om upphävande av rådets direktiv 85/374/EEG (EUT L, 2024/2853, 18.11.2024, ELI: http://data.europa.eu/eli/dir/2024/2853/oj).

(17) Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 4.5.2016, s. 1).

(18) Europaparlamentets och rådets förordning (EU) nr 910/2014 av den 23 juli 2014 om elektronisk identifiering och betrodda tjänster för elektroniska transaktioner på den inre marknaden och om upphävande av direktiv 1999/93/EG (EUT L 257, 28.8.2014, s. 73).

(19) Europaparlamentets och rådets förordning (EU) 2024/1781 av den 13 juni 2024 om upprättande av en ram för att fastställa ekodesignkrav för hållbara produkter, om ändring av direktiv (EU) 2020/1828 och förordning (EU) 2023/1542 och om upphävande av direktiv 2009/125/EG (EUT L, 2024/1781, 28.6.2024, ELI: http://data.europa.eu/eli/reg/2024/1781/oj).

(20) Kommissionens genomförandeförordning (EU) 2024/482 av den 31 januari 2024 om fastställande av tillämpningsföreskrifter för Europaparlamentets och rådets förordning (EU) 2019/881 vad gäller antagande av den europeiska Common Criteria-baserade ordningen för cybersäkerhetscertifiering (EUCC) (EUT L, 2024/482, 7.2.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/482/oj).

(21) Europaparlamentets och rådets förordning (EU) 2023/988 av den 10 maj 2023 om allmän produktsäkerhet, ändring av Europaparlamentets och rådets förordning (EU) nr 1025/2012 och Europaparlamentets och rådets direktiv (EU) 2020/1828 och om upphävande av Europaparlamentets och rådets direktiv 2001/95/EG och rådets direktiv 87/357/EEG (EUT L 135, 23.5.2023, s. 1).

(22) Europaparlamentets och rådets förordning (EU) 2024/1689 av den 13 juni 2024 om harmoniserade regler för artificiell intelligens och om ändring av förordningarna (EG) nr 300/2008, (EU) nr 167/2013, (EU) nr 168/2013, (EU) 2018/858, (EU) 2018/1139 och (EU) 2019/2144 samt direktiven 2014/90/EU, (EU) 2016/797 och (EU) 2020/1828 (förordning om artificiell intelligens) (EUT L, 2024/1689, 12.7.2024, ELI: http://data.europa.eu/eli/reg/2024/1689/oj).

(23) Kommissionens rekommendation (EU) 2019/534 av den 26 mars 2019 om it-säkerhet i 5G-nät (EUT L 88, 29.3.2019, s. 42).

(24) Europaparlamentets och rådets förordning (EU) 2023/1230 av den 14 juni 2023 om maskiner och om upphävande av Europaparlamentets och rådets direktiv 2006/42/EG och rådets direktiv 73/361/EEG (EUT L 165, 29.6.2023, s. 1).

(25) Europaparlamentets och rådets förordning (EU) 2022/2554 av den 14 december 2022 om digital operativ motståndskraft för finanssektorn och om ändring av förordningarna (EG) nr 1060/2009, (EU) nr 648/2012, (EU) nr 600/2014, (EU) nr 909/2014 och (EU) 2016/1011 (EUT L 333, 27.12.2022, s. 1).

(26) Europaparlamentets och rådets direktiv 2002/58/EG av den 12 juli 2002 om behandling av personuppgifter och integritetsskydd inom sektorn för elektronisk kommunikation (EGT L 201, 31.7.2002, s. 37).

(27) Europaparlamentets och rådets förordning (EU) 2019/1020 av den 20 juni 2019 om marknadskontroll och överensstämmelse för produkter och om ändring av direktiv 2004/42/EG och förordningarna (EG) nr 765/2008 och (EU) nr 305/2011 (EUT L 169, 25.6.2019, s. 1).

(28) Europaparlamentets och rådets förordning (EU) nr 1025/2012 av den 25 oktober 2012 om europeisk standardisering och om ändring av rådets direktiv 89/686/EEG och 93/15/EEG samt av Europaparlamentets och rådets direktiv 94/9/EG, 94/25/EG, 95/16/EG, 97/23/EG, 98/34/EG, 2004/22/EG, 2007/23/EG, 2009/23/EG och 2009/105/EG samt om upphävande av rådets beslut 87/95/EEG och Europaparlamentets och rådets beslut nr 1673/2006/EG (EUT L 316, 14.11.2012, s. 12).

(29) Europaparlamentets och rådets förordning (EG) nr 765/2008 av den 9 juli 2008 om krav för ackreditering och upphävande av förordning (EEG) nr 339/93 (EUT L 218, 13.8.2008, s. 30).

(30) Europaparlamentets och rådets beslut nr 768/2008/EG av den 9 juli 2008 om en gemensam ram för saluföring av produkter och upphävande av rådets beslut 93/465/EEG (EUT L 218, 13.8.2008, s. 82).

(31) EUT L 123, 12.5.2016, s. 1.

(32) Europaparlamentets och rådets förordning (EU) nr 182/2011 av den 16 februari 2011 om fastställande av allmänna regler och principer för medlemsstaternas kontroll av kommissionens utövande av sina genomförandebefogenheter (EUT L 55, 28.2.2011, s. 13, ELI: http://data.europa.eu/eli/reg/2011/182/oj).

(33) Europaparlamentets och rådets direktiv (EU) 2020/1828 av den 25 november 2020 om grupptalan för att skydda konsumenters kollektiva intressen och om upphävande av direktiv 2009/22/EG (EUT L 409, 4.12.2020, s. 1).

(34) Europaparlamentets och rådets förordning (EU) 2018/1725 av den 23 oktober 2018 om skydd för fysiska personer med avseende på behandling av personuppgifter som utförs av unionens institutioner, organ och byråer och om det fria flödet av sådana uppgifter samt om upphävande av förordning (EG) nr 45/2001 och beslut nr 1247/2002/EG (EUT L 295, 21.11.2018, s. 39).

(35) EUT C 452, 29.11.2022, s. 23.

(36) Europaparlamentets och rådets direktiv 2014/90/EU av den 23 juli 2014 om marin utrustning och om upphävande av rådets direktiv 96/98/EG (EUT L 257, 28.8.2014, s. 146).

(37) Europaparlamentets och rådets direktiv (EU) 2016/943 av den 8 juni 2016 om skydd mot att icke röjd know-how och företagsinformation (företagshemligheter) olagligen anskaffas, utnyttjas och röjs (EUT L 157, 15.6.2016, s. 1).

(38) Europaparlamentets och rådets förordning (EU) nr 168/2013 av den 15 januari 2013 om godkännande av och marknadskontroll för två- och trehjuliga fordon och fyrhjulingar (EUT L 60, 2.3.2013, s. 52).

BILAGA I

VÄSENTLIGA CYBERSÄKERHETSKRAV

Del I Cybersäkerhetskrav avseende egenskaper hos produkter med digitala element

1. Produkter med digitala element ska utformas, utvecklas och produceras på ett sådant sätt att de säkerställer en lämplig cybersäkerhetsnivå baserat på riskerna.

2. På grundval av den bedömning av cybersäkerhetsrisker som avses i artikel 13.2, och i tillämpliga fall, ska produkter med digitala element

a) tillhandahållas på marknaden utan kända sårbarheter som kan utnyttjas,

b) tillhandahållas på marknaden med en säker standardkonfiguration, såvida inte tillverkaren och företagsanvändaren kommit överens om något annat med avseende på en skräddarsydd produkt med digitala element, inbegripet möjlighet att återställa produkten till dess ursprungliga skick,

c) säkerställa att sårbarheter kan åtgärdas genom säkerhetsuppdateringar, inbegripet, i tillämpliga fall, genom automatiska säkerhetsuppdateringar som installeras inom en lämplig tidsram som möjliggörs som standardinställning, med en tydlig och lättanvänd undantagsmekanism, genom att meddela användarna tillgängliga uppdateringar, och möjligheten att tillfälligt skjuta upp dem,

d) säkerställa skydd mot obehörig åtkomst genom lämpliga kontrollmekanismer, inbegripet men inte begränsat till system för autentisering, identitet eller åtkomsthantering, samt rapportera om eventuell obehörig åtkomst,

e) skydda konfidentialiteten för lagrade, överförda eller på annat sätt behandlade uppgifter, personuppgifter eller andra uppgifter, t.ex. genom kryptering av relevanta data i vila eller i transit med hjälp av de senaste metoderna, och med användning av andra tekniska lösningar,

f) skydda riktigheten hos lagrade, överförda eller på annat sätt behandlade uppgifter, personuppgifter eller andra uppgifter, kommandon, program och konfigurationer mot manipulation eller ändringar som inte godkänts av användaren, samt rapportera om datadistorsion,

g) endast behandla personuppgifter eller andra uppgifter som är adekvata, relevanta och begränsade till vad som är nödvändigt i förhållande till det avsedda syftet med produkten med digitala element (”uppgiftsminimering”),

h) skydda tillgången till väsentliga och grundläggande funktioner, även efter en incident, inbegripet genom resiliens- och begränsningsåtgärder mot överbelastningsattacker,

i) minimera de negativa effekterna av produkterna i sig eller av tillhörande tjänster på tillgången till tjänster som tillhandahålls av andra enheter eller nätverk,

j) utformas, utvecklas och produceras för att begränsa attackytor, inbegripet externa gränssnitt,

k) utformas, utvecklas och produceras för att minska effekterna av en incident med hjälp av lämpliga mekanismer och tekniker för att begränsa utnyttjandet,

l) tillhandahålla säkerhetsrelaterad information genom att registrera och övervaka relevant intern verksamhet, inbegripet tillgång till eller ändring av data, tjänster eller funktioner, med en undantagsmekanism för användaren,

m) ge användarna möjlighet att på ett säkert och enkelt sätt permanent ta bort alla data och inställningar och, om sådana data kan överföras till andra produkter eller system, säkerställa att detta görs på ett säkert sätt.

Del II Krav på sårbarhetshantering

Tillverkare av produkter med digitala element ska

1. identifiera och dokumentera sårbarheter och komponenter i produkter med digitala element, bland annat genom att upprätta en programvaruförteckning för material i ett allmänt använt och maskinläsbart format som åtminstone täcker produktens viktigaste (top-level) beroenden,

2. när det gäller riskerna för produkter med digitala element, utan dröjsmål åtgärda och avhjälpa sårbarheter, bland annat genom att tillhandahålla säkerhetsuppdateringar; om det är tekniskt möjligt ska nya säkerhetsuppdateringar tillhandahållas separat från funktionsuppdateringar,

3. tillämpa effektiva och regelbundna provningar och granskningar av säkerheten hos produkten med digitala element,

4. när en uppdatering av säkerheten har gjorts tillgänglig, dela och offentligt redovisa information om åtgärdade sårbarheter, inbegripet en beskrivning av sårbarheterna, information som gör det möjligt för användarna att identifiera den produkt med digitala element som påverkas, sårbarheternas konsekvenser, deras allvarlighetsgrad och tydlig och tillgänglig information som underlättar för användarna att avhjälpa sårbarheterna; i vederbörligen motiverade fall, om tillverkarna anser att säkerhetsriskerna med offentliggörande är större än säkerhetsfördelarna, får de skjuta upp offentliggörandet av information om en åtgärdad sårbarhet till dess att användarna har fått möjlighet att använda den relevanta programfixen,

5. införa och verkställa en policy för samordnad delgivning av information om sårbarheter,

6. vidta åtgärder för att underlätta utbyte av information om potentiella sårbarheter i sin produkt med digitala element och i tredjepartskomponenter som ingår i produkten, inbegripet genom att tillhandahålla en kontaktadress för rapportering av de sårbarheter som upptäckts i produkten med digitala element,

7. tillhandahålla mekanismer för säker distribution av uppdateringar av produkter med digitala element för att säkerställa att sårbarheter åtgärdas eller begränsas i tid och, i tillämpliga fall för säkerhetsuppdateringar, på ett automatiskt sätt,

8. säkerställa att säkerhetsuppdateringar, i de fall då de finns tillgängliga för att hantera identifierade säkerhetsproblem, sprids utan dröjsmål och, såvida inte tillverkaren och företagsanvändaren kommit överens om något annat med avseende på en skräddarsydd produkt med digitala element, kostnadsfritt, åtföljs av rådgivande meddelanden som ger användarna relevant information, inbegripet om eventuella åtgärder som ska vidtas.

BILAGA II

INFORMATION OCH INSTRUKTIONER TILL ANVÄNDAREN

Produkten med digitala element ska åtminstone åtföljas av

1. tillverkarens namn, registrerade firmanamn eller registrerade varumärke samt den postadress, den e-postadress eller andra digitala kontaktuppgifter och, om tillgänglig, den webbplats där tillverkaren kan kontaktas,

2. den gemensamma kontaktpunkt där information om sårbarheter hos produkten med digitala element kan rapporteras och tas emot och där tillverkarens policy för samordnad delgivning av information om sårbarheter kan hittas,

3. namn och typ samt eventuell ytterligare information som möjliggör unik identifiering av produkten med digitala element,

4. det avsedda syftet med produkten med digitala element, inbegripet den säkerhetsmiljö som tillhandahålls av tillverkaren, samt produktens väsentliga funktioner och information om säkerhetsegenskaperna,

5. varje känd eller förutsebar omständighet, som har samband med användningen av produkten med digitala element i enlighet med dess avsedda ändamål eller under förhållanden där det kan förekomma rimligen förutsebar felaktig användning, som kan leda till betydande cybersäkerhetsrisker,

6. i tillämpliga fall, den internetadress där EU-försäkran om överensstämmelse finns tillgänglig,

7. den typ av tekniskt säkerhetsstöd som erbjuds av tillverkaren och slutdatumet för den stödperiod under vilken användarna kan förvänta sig att sårbarheter ska hanteras och få säkerhetsuppdateringar,

8. detaljerade instruktioner eller en internetadress som hänvisar till sådana detaljerade instruktioner och information om

a) nödvändiga åtgärder under den inledande idrifttagningen och under hela livslängden för produkten med digitala element för att säkerställa en säker användning,

b) hur ändringar av produkten med digitala element kan påverka datasäkerheten,

c) hur säkerhetsrelevanta uppdateringar kan installeras,

d) säker avveckling av produkten med digitala element, inbegripet information om hur användardata kan avlägsnas på ett säkert sätt,

e) hur standardinställningen som möjliggör automatisk installation av säkerhetsuppdateringar i enlighet med kravet i del I led 2.c i bilaga I kan stängas av,

f) om produkten med digitala element är avsedd att integreras i andra produkter med digitala element, den information som krävs för att integratorn ska kunna uppfylla de väsentliga cybersäkerhetskrav som anges i bilaga I och dokumentationskraven i bilaga VII,

9. Om tillverkaren beslutar att göra programvaruförteckningen tillgänglig för användaren, information om var programvaruförteckningen kan nås.

BILAGA III

VIKTIGA PRODUKTER MED DIGITALA ELEMENT

Klass I

1. Identitetshanteringssystem och programvara och hårdvara för hantering av privilegierad åtkomst, inbegripet läsare för autentisering och åtkomstkontroll, inbegripet biometriska läsare.

2. Fristående och inbyggda webbläsare.

3. Lösenordshanterare.

4. Programvara som söker efter och avlägsnar skadlig programvara eller sätter den i karantän.

5. Produkter med digitala element som fungerar som virtuella privata nätverk (VPN).

6. System för nätverksförvaltning.

7. System för säkerhetsinformation och händelsehantering (SIEM).

8. Starthanterare.

9. Infrastruktur för kryptering med öppen nyckel (PKI) och programvara för utfärdande av digitala certifikat.

10. Fysiska och virtuella nätverksgränssnitt.

11. Operativsystem.

12. Routrar, modem avsedda för anslutning till internet och dataväxlar.

13. Mikroprocessorer med säkerhetsrelaterade funktioner.

14. Mikrokontroller med säkerhetsrelaterade funktioner.

15. Applikationsspecifika integrerade kretsar (ASIC) och fältprogrammerbara grindmatriser (FPGA) med säkerhetsrelaterade funktioner.

16. Smarta virtuella assistenter för allmänna ändamål.

17. Smarta hemprodukter med säkerhetsfunktioner, inbegripet smarta dörrlås, säkerhetskameror, babyövervakningssystem och larmsystem.

18. Internetanslutna leksaker som omfattas av Europaparlamentets och rådets direktiv 2009/48/EG (1) och som har sociala interaktiva funktioner (t.ex. tal eller filmning) eller som har positionsspårningsfunktioner.

19. Personliga kroppsburna produkter som ska bäras eller placeras på en människokropp och som har ett hälsoövervakningssyfte (t.ex. spårning) och som inte omfattas av förordning (EU) 2017/745 eller (EU) 2017/746, eller personliga kroppsburna produkter som är avsedda att användas av och för barn.

Klass II

1. Hypervisorer och system för körning av programbehållare som stöder virtualiserad exekvering av operativsystem och liknande miljöer.

2. Brandväggar, intrångsdetektions- och intrångsskyddssystem.

3. Manipulationssäkra mikroprocessorer.

4. Manipulationssäkra mikrokontroller.

(1) Europaparlamentets och rådets direktiv 2009/48/EG av den 18 juni 2009 om leksakers säkerhet (EUT L 170, 30.6.2009, s. 1).

BILAGA IV

KRITISKA PRODUKTER MED DIGITALA ELEMENT

1. Hårdvaruenheter med säkerhetsboxar.

2. Smarta mätarportar inom smarta mätarsystem enligt definitionen i artikel 2.23 i Europaparlamentets och rådets direktiv (EU) 2019/944 (1) och andra enheter för avancerade säkerhetsändamål, inbegripet för säker kryptobehandling.

3. Smartkort eller liknande enheter, inbegripet säkra element.

(1) Europaparlamentets och rådets direktiv (EU) 2019/944 av den 5 juni 2019 om gemensamma regler för den inre marknaden för el och om ändring av direktiv 2012/27/EU (EUT L 158, 14.6.2019, s. 125).

BILAGA V

EU-FÖRSÄKRAN OM ÖVERENSSTÄMMELSE

Den EU-försäkran om överensstämmelse som avses i artikel 28 ska innehålla samtliga uppgifter som anges nedan:

1. Namn och typ samt eventuell ytterligare information som möjliggör unik identifiering av produkten med digitala element.

2. Namn och adress till tillverkaren eller tillverkarens representant.

3. En förklaring om att EU-försäkran om överensstämmelse utfärdas på leverantörens eget ansvar.

4. Föremål för försäkran (identifiering av produkten med digitala element så att den kan spåras, vilket vid behov kan inbegripa ett fotografi).

5. En förklaring om att det föremål för försäkran som beskrivs ovan överensstämmer med den relevanta unionsharmoniseringslagstiftningen.

6. Hänvisningar till relevanta harmoniserade standarder som använts eller andra gemensamma specifikationer eller system för cybersäkerhetscertifiering enligt vilka överensstämmelsen försäkras.

7. I tillämpliga fall, det anmälda organets namn och nummer, en beskrivning av det använda förfarandet för bedömning av överensstämmelse och uppgifter om det utfärdade intyget.

8. Ytterligare information:

Undertecknad för:

(ort och datum):

(namn, befattning) (namnteckning):

BILAGA VI

FÖRENKLAD EU-FÖRSÄKRAN OM ÖVERENSSTÄMMELSE

Den förenklade EU-försäkran om överensstämmelse som avses i artikel 13.20 ska utfärdas enligt följande:

Härmed försäkrar …[tillverkarens namn] att produkten med digitala element …[beteckning för typ av produkt med digitalt element] uppfyller kraven i (EU) 2024/2847 (1).

Den fullständiga texten till EU-försäkran om överensstämmelse finns på följande internetadress: …

(1) EUT L, 2024/2847, 20.11.2024, ELI: http://data.europa.eu/eli/reg/2024/2847/oj.

BILAGA VII

DEN TEKNISKA DOKUMENTATIONENS INNEHÅLL

Den tekniska dokumentation som avses i artikel 31 ska åtminstone innehålla följande information, beroende på vad som är tillämpligt för den relevanta produkten med digitala element:

1. En allmän beskrivning av produkten med digitala element, inbegripet

a) dess avsedda ändamål,

b) versioner av programvara som påverkar överensstämmelsen med de väsentliga cybersäkerhetskraven,

c) om produkten med digitala element är en hårdvaruprodukt, fotografier eller illustrationer som visar yttre egenskaper, märkning och inre layout,

d) användarinformation och bruksanvisning enligt bilaga II.

2. En beskrivning av utformningen, utvecklingen och produktionen av produkten med digitala element samt processer för sårbarhetshantering, inbegripet

a) nödvändig information om utformning och utveckling av produkten med digitala element, i tillämpliga fall inbegripet ritningar och scheman och/eller en beskrivning av systemarkitekturen som förklarar hur programvarukomponenter bygger på eller matas in i varandra och integreras i den övergripande behandlingen,

b) nödvändig information om och specifikationer av de processer för sårbarhetshantering som tillverkaren infört, inbegripet programvaruförteckningen, policyn för samordnad delgivning av information om sårbarheter, bevis på tillhandahållandet av en kontaktadress för rapportering av sårbarheter och en beskrivning av de tekniska lösningar som valts för säker distribution av uppdateringar,

c) nödvändig information om och specifikationer av produktions- och övervakningsprocesser för produkten med digitala element och validering av dessa processer.

3. En bedömning av de cybersäkerhetsrisker mot vilka produkten med digitala element utformas, utvecklas, produceras, levereras och underhålls som fastställs enligt artikel 13, inbegripet hur de väsentliga cybersäkerhetskraven i del I i bilaga I är tillämpliga.

4. Relevant information som beaktades för att fastställa stödperioden enligt artikel 13.8 för produkten med digitala element.

5. En förteckning över de harmoniserade standarder som helt eller delvis har följts och till vilka hänvisningar har offentliggjorts i Europeiska unionens officiella tidning, gemensamma specifikationer enligt artikel 27 i denna förordning eller europeiska ordningar för cybersäkerhetscertifiering som antagits enligt förordning (EU) 2019/881 enligt artikel 27.8 i denna förordning, och, om dessa harmoniserade standarder, gemensamma specifikationer eller europeiska ordningar för cybersäkerhetscertifiering inte har tillämpats, beskrivningar av de lösningar som valts för att uppfylla de väsentliga cybersäkerhetskraven i delarna I och II i bilaga I, inbegripet en förteckning över andra relevanta tekniska specifikationer som tillämpats. När det gäller delvis tillämpade harmoniserade standarder, gemensamma specifikationer eller europeiska ordningar för cybersäkerhetscertifiering ska det i den tekniska dokumentationen specificeras vilka delar som har tillämpats.

6. Rapporter om de provningar som utförts för att kontrollera att produkten med digitala element och processerna för sårbarhetshantering överensstämmer med de tillämpliga väsentliga cybersäkerhetskraven i delarna I och II i bilaga I.

7. Kopia av EU-försäkran om överensstämmelse.

8. I tillämpliga fall, programvaruförteckningen, efter en motiverad begäran från en marknadskontrollmyndighet, förutsatt att det är nödvändigt för att denna myndighet ska kunna kontrollera överensstämmelsen med de väsentliga cybersäkerhetskraven i bilaga I.

BILAGA VIII

FÖRFARANDEN FÖR BEDÖMNING AV ÖVERENSSTÄMMELSE

Del I Förfarande för bedömning av överensstämmelse som grundar sig på intern kontroll (baserat på modul A)

1. Intern kontroll är det förfarande för bedömning av överensstämmelse genom vilket tillverkaren fullgör skyldigheterna som anges i punkterna 2, 3 och 4 i denna del samt säkerställer och försäkrar på eget ansvar att produkter med digitala element uppfyller alla de väsentliga cybersäkerhetskraven i del I i bilaga I och att tillverkaren uppfyller de väsentliga cybersäkerhetskraven i del II i bilaga I.

2. Tillverkaren ska upprätta den tekniska dokumentation som beskrivs i bilaga VII.

3. Utformning, utveckling, produktion och sårbarhetshantering av produkter med digitala element

Tillverkaren ska vidta alla åtgärder som krävs för att säkerställa att utformningen, utvecklingen, produktionen samt processerna för sårbarhetshantering och övervakningen av dessa ska leder till att de tillverkade eller utvecklade produkterna med digitala element och de processer som tillverkaren infört överensstämmer med de väsentliga cybersäkerhetskraven i delarna I och II i bilaga I.

4. Märkning om överensstämmelse och försäkran om överensstämmelse

4.1

Tillverkaren ska fästa CE-märkningen på varje enskild produkt med digitala element som uppfyller de tillämpliga kraven som anges i denna förordning.

4.2

Tillverkaren ska upprätta en skriftlig EU-försäkran om överensstämmelse för varje produkt med digitala element i enlighet med artikel 28 och ska kunna uppvisa den tillsammans med den tekniska dokumentationen för de nationella myndigheterna under en period på 10 år efter det att produkten med digitala element har släppts ut på marknaden eller under stödperioden, beroende på vilken period som är längst. I EU-försäkran om överensstämmelse ska det anges för vilken produkt med digitala element den har upprättats. En kopia av EU-försäkran om överensstämmelse ska på begäran göras tillgänglig för de relevanta myndigheterna.

5. Tillverkarens representanter

Tillverkarens representant får fullgöra tillverkarens skyldigheter enligt punkt 4 för dennes räkning och på dennes ansvar, förutsatt att de relevanta skyldigheterna specificeras i fullmakten.

Del II EU-typkontroll (baserat på modul B)

1. EU-typkontroll är den del av ett förfarande för bedömning av överensstämmelse genom vilken ett anmält organ undersöker den tekniska utformningen och utvecklingen hos produkten med digitala element och de processer för sårbarhetshantering som tillverkaren infört och intygar att en produkt med digitala element uppfyller de väsentliga cybersäkerhetskraven i del I i bilaga I och att tillverkaren uppfyller de väsentliga cybersäkerhetskraven i del II i bilaga I.

2. EU-typkontroll ska göras genom bedömning av lämpligheten hos den tekniska utformningen och utvecklingen av produkten med digitala element genom granskningen av den tekniska dokumentation och de underlag som avses i punkt 3 samt undersökningen av provexemplar av en eller flera kritiska delar av produkten (kombination av produktionstyp och utformningstyp).

3. Tillverkaren ska lämna in ansökan om EU-typkontroll till ett valfritt anmält organ.

Ansökan ska innehålla följande:

3.1

Tillverkarens namn och adress och, om ansökan lämnas in av tillverkarens representant, även namn och adress för den tillverkarens representant.

3.2

En skriftlig försäkran om att samma ansökan inte har lämnats in till något annat anmält organ.

3.3

Den tekniska dokumentationen, vilken ska göra det möjligt att bedöma överensstämmelsen hos produkten med digitala element med de tillämpliga väsentliga cybersäkerhetskraven i del I i bilaga I och tillverkarens processer för sårbarhetshantering enligt del II i bilaga I, och ska innehålla en tillfredsställande analys och bedömning av riskerna. Den tekniska dokumentationen ska innehålla de tillämpliga kraven och, i den mån det krävs för bedömningen, även en beskrivning av utformningen, tillverkningen och funktionen avseende produkten med digitala element. Den tekniska dokumentationen ska, i tillämpliga fall, innehålla minst de uppgifter som anges i bilaga VII.

3.4

Underlag som visar att de lösningarna för teknisk utformning och utveckling samt processerna för sårbarhetshantering är lämpliga. I underlaget ska anges alla dokument som har använts, särskilt när de relevanta harmoniserade standarderna och/eller de tekniska specifikationerna inte har tillämpats fullt ut. Underlaget ska vid behov innehålla resultaten av provningar som utförts i tillverkarens därtill ägnade laboratorium eller i något annat provningslaboratorium för dennes räkning och under dennes ansvar.

4. Det anmälda organet ska göra följande:

4.1

Granska den tekniska dokumentationen och underlaget för att bedöma om den tekniska utformningen och utvecklingen av produkten med digitala element uppfyller de väsentliga cybersäkerhetskraven i del I i bilaga I och om de processer för sårbarhetshantering som tillverkaren infört uppfyller de väsentliga cybersäkerhetskraven i del II i bilaga I.

4.2

Kontrollera att provexemplaren har utvecklats eller tillverkats i enlighet med den tekniska dokumentationen och identifiera de delar som har utformats och utvecklats i enlighet med de tillämpliga bestämmelserna i de relevanta harmoniserade standarderna eller de tekniska specifikationerna, liksom de delar som har utformats och utvecklats utan att de tillämpliga bestämmelserna i dessa standarder har följts.

4.3

Utföra eller låta utföra lämpliga undersökningar och provningar för att, i de fall där tillverkaren har valt att tillämpa lösningarna i de relevanta harmoniserade standarderna eller de tekniska specifikationerna för de krav som anges i bilaga I, kontrollera att de lösningarna har tillämpats på rätt sätt.

4.4

Utföra eller låta utföra lämpliga undersökningar och provningar för att, i de fall där lösningarna i relevanta harmoniserade standarder eller tekniska specifikationer för de krav som anges i bilaga I inte har tillämpats, kontrollera om de lösningar som tillverkaren använt uppfyller de väsentliga cybersäkerhetskraven.

4.5

Komma överens med tillverkaren om var undersökningarna och provningarna ska utföras.

5. Det anmälda organet ska utarbeta en bedömningsrapport i vilken de åtgärder som utförts i enlighet med punkt 4 och resultatet av dem redovisas. Utan att det påverkar det anmälda organets skyldigheter gentemot de anmälande myndigheterna får organet endast offentliggöra hela eller delar av innehållet i rapporten med tillverkarens samtycke.

6. Om typen och processerna för sårbarhetshantering uppfyller de väsentliga cybersäkerhetskraven i bilaga I ska det anmälda organet utfärda ett EU-typintyg till tillverkaren. Intyget ska innehålla tillverkarens namn och adress, slutsatserna av undersökningen, eventuella giltighetsvillkor och de uppgifter som krävs för identifiering av den godkända typen och processerna för sårbarhetshantering. Intyget kan ha en eller flera bilagor.

Intyget och bilagorna ska innehålla all information som behövs för att bedöma om de tillverkade eller utvecklade produkterna med digitala element överensstämmer med den undersökta typen och processerna för sårbarhetshantering och för att kontrollera produkter i bruk.

Om typen och processerna för sårbarhetshantering inte uppfyller de tillämpliga väsentliga cybersäkerhetskraven i bilaga I ska det anmälda organet avslå ansökan om EU-typintyg och informera sökanden om detta samt utförligt motivera avslaget.

7. Det anmälda organet ska följa med i den tekniska utvecklingen, och om denna tyder på att den godkända typen och processerna för sårbarhetshantering inte längre uppfyller de tillämpliga väsentliga cybersäkerhetskraven i bilaga I ska organet fastställa om det krävs ytterligare undersökningar. Om så är fallet ska det anmälda organet underrätta tillverkaren om detta.

Tillverkaren ska underrätta det anmälda organ som innehar den tekniska dokumentationen för EU-typintyget om alla ändringar av den godkända typen och processerna för sårbarhetshantering som kan påverka överensstämmelsen med de väsentliga cybersäkerhetskraven i bilaga I eller villkoren för intygets giltighet. För sådana ändringar krävs ytterligare godkännande i form av ett tillägg till det ursprungliga EU-typintyget.

8. Det anmälda organet ska regelbundet genomföra revisioner för att säkerställa att processerna för sårbarhetshantering enligt del II i bilaga I genomförs på ett tillfredsställande sätt.

9. Varje anmält organ ska underrätta sina anmälande myndigheter om de EU-typintyg och tillägg till dessa som det har utfärdat eller återkallat, och det ska periodiskt återkommande eller på begäran ge de anmälande myndigheterna tillgång till förteckningen över de intyg och eventuella tillägg till dessa som det har avslagit, tillfälligt återkallat eller på annat sätt belagt med restriktioner.

Varje anmält organ ska underrätta de övriga anmälda organen om de EU-typintyg och eventuella tillägg till dessa som det har vägrat utfärda, slutgiltigt eller tillfälligt återkallat eller på annat sätt belagt med restriktioner och, på begäran, om de intyg och tillägg till dessa som det har utfärdat.

Kommissionen, medlemsstaterna och de övriga anmälda organen har rätt att på begäran få en kopia av EU-typkontrollintyget och alla tillägg till det. Kommissionen och medlemsstaterna har rätt att på begäran få en kopia av den tekniska dokumentationen och av resultaten från de undersökningar som utförts av det anmälda organet. Det anmälda organet ska spara en kopia av EU-typintyget med bilagor och tillägg samt av den tekniska dokumentationen, inklusive dokumentation från tillverkaren, så länge som intyget är giltigt.

10. Tillverkaren ska för de nationella myndigheterna kunna uppvisa en kopia av EU-typintyget med bilagor och tillägg tillsammans med den tekniska dokumentationen under tio år efter det att produkten med digitala element släpptes ut på marknaden eller under stödperioden, beroende på vilken period som är längst.

11. Tillverkarens representant får lämna in den ansökan som avses i punkt 3 och fullgöra skyldigheterna enligt punkterna 7 och 10, förutsatt att de relevanta skyldigheterna specificeras i fullmakten.

Del III Överensstämmelse med typ som grundar sig på intern tillverkningskontroll (baserat på modul C)

1. Överensstämmelse med typ som grundar sig på intern tillverkningskontroll är den del av ett förfarande för bedömning av överensstämmelse genom vilken tillverkaren fullgör skyldigheterna som anges i punkterna 2 och 3 i denna del samt säkerställer och försäkrar att de berörda produkterna med digitala element överensstämmer med typen enligt beskrivningen i EU-typintyget och uppfyller de väsentliga cybersäkerhetskraven i del I i bilaga I och att tillverkaren uppfyller de väsentliga cybersäkerhetskraven i del II i bilaga I.

2. Produktion

Tillverkaren ska vidta alla nödvändiga åtgärder för att produktionen och övervakningen av den ska leda till att de tillverkade produkterna med digitala element överensstämmer med den godkända typen enligt beskrivningen i EU-typintyget och med de väsentliga cybersäkerhetskraven i del I i bilaga I och säkerställer att tillverkaren uppfyller de väsentliga cybersäkerhetskraven i del II i bilaga I.

3. Märkning om överensstämmelse och försäkran om överensstämmelse

3.1

Tillverkaren ska fästa CE-märkningen på varje enskild produkt med digitala element som överensstämmer med typen enligt beskrivningen i EU-typintyget och uppfyller de tillämpliga kraven som anges i denna förordning.

3.2

Tillverkaren ska upprätta en skriftlig försäkran om överensstämmelse för en produktmodell och kunna uppvisa den för de nationella myndigheterna under en period på tio år efter det att produkten med digitala element har släppts ut på marknaden eller under stödperioden, beroende på vilken period som är längst. I försäkran om överensstämmelse ska det anges för vilken produktmodell den har upprättats. En kopia av försäkran om överensstämmelse ska på begäran göras tillgänglig för de behöriga myndigheterna.

4. Tillverkarens representant

Tillverkarens representant får fullgöra tillverkarens skyldigheter enligt punkt 3 för dennes räkning och på dennes ansvar, förutsatt att de relevanta skyldigheterna specificeras i fullmakten.

Del IV Överensstämmelse som grundar sig på fullständig kvalitetssäkring (baserat på modul H)

1. Överensstämmelse som grundar sig på fullständig kvalitetssäkring är det förfarande för bedömning av överensstämmelse genom vilket tillverkaren fullgör skyldigheterna som anges i punkterna 2 och 5 i denna del samt säkerställer och försäkrar på eget ansvar att de berörda produkterna med digitala element eller produktkategorierna uppfyller de väsentliga cybersäkerhetskraven i del I i bilaga I och att de processer för sårbarhetshantering som tillverkaren infört uppfyller kraven i del II i bilaga I.

2. Utformning, utveckling, produktion och sårbarhetshantering av produkter med digitala element

Tillverkaren ska tillämpa ett godkänt kvalitetssystem enligt punkt 3 för utformning, utveckling, slutlig produktkontroll och provning av de berörda produkterna med digitala element och för hantering av sårbarheter, upprätthålla dess effektivitet under hela stödperioden och ska stå under övervakning i enlighet med punkt 4.

3. Kvalitetssystem

3.1

Tillverkaren ska hos ett valfritt anmält organ ansöka om att få sitt kvalitetssystem för de berörda produkterna med digitala element bedömt.

Ansökan ska innehålla följande:

a) Tillverkarens namn och adress och, om ansökan lämnas in av tillverkarens representant, namn och adress för den tillverkarens representant.

b) Den tekniska dokumentationen för en modell av varje kategori av produkter med digitala element som är tänkt att tillverkas eller utvecklas. Den tekniska dokumentationen ska, i tillämpliga fall, innehålla de uppgifter som anges i bilaga VII.

c) Dokumentation av kvalitetssystemet.

d) En skriftlig försäkran om att samma ansökan inte har lämnats till något annat anmält organ.

3.2

Kvalitetssystemet ska säkerställa att produkterna med digitala element uppfyller de väsentliga cybersäkerhetskraven i del I i bilaga I och att de processer för sårbarhetshantering som tillverkaren infört uppfyller kraven i del II i bilaga I.

Alla de faktorer, krav och bestämmelser som tillverkaren tagit hänsyn till ska dokumenteras på ett systematiskt och överskådligt sätt i form av skriftliga riktlinjer, förfaranden och anvisningar. Denna dokumentation av kvalitetssystemet ska möjliggöra en enhetlig tolkning av rutiner och kvalitetsåtgärder, såsom program, planer, manualer och protokoll.

Den ska framför allt innehålla en fullgod beskrivning av

a) kvalitetsmålen och organisationsstruktur samt ledningens ansvar och befogenheter när det gäller utformning, utveckling, produktkvalitet och sårbarhetshantering,

b) de tekniska specifikationer för utformning och utveckling, inbegripet standarder, som ska tillämpas och, när de relevanta harmoniserade standarderna eller de tekniska föreskrifterna inte tillämpas fullt ut, de medel som används för att säkerställa att de väsentliga cybersäkerhetskraven i del I i bilaga I som är tillämpliga för produkterna med digitala element uppfylls,

c) de tekniska specifikationer för förfaranden, inklusive standarder, som ska tillämpas och, när de relevanta harmoniserade standarderna eller de tekniska föreskrifterna inte tillämpas fullt ut, de medel som används för att säkerställa att de väsentliga cybersäkerhetskraven i del II i bilaga I som är tillämpliga för tillverkaren uppfylls,

d) kontrollen av utformning och utveckling, samt de metoder, processer och systematiska förfaranden för verifikation av utformning och utveckling som ska användas vid utformning och utveckling av produkter med digitala element inom den berörda kategorin,

e) de motsvarande metoder, processer och systematiska åtgärder för produktion, kvalitetskontroll och kvalitetssäkring som ska användas,

f) de undersökningar och provningar som kommer att utföras före, under och efter produktionen, och hur ofta de kommer att utföras,

g) kvalitetsdokumenten, t.ex. kontrollrapporter, provningsresultat, kalibreringsresultat och redogörelser för den berörda personalens kvalifikationer.

h) metoderna för övervakning av att den erforderliga utformnings- och produktkvaliteten uppnås och att kvalitetssystemet fungerar effektivt.

3.3

Det anmälda organet ska bedöma kvalitetssystemet för att avgöra det uppfyller kraven i punkt 3.2.

Det ska förutsätta att kraven är uppfyllda i fråga om de delar av kvalitetssäkringssystemet som uppfyller motsvarande specifikationer i den nationella standard genom vilken den relevanta harmoniserade standarden eller de tekniska specifikationerna genomförs.

Utöver erfarenhet av kvalitetsledningssystem ska minst en av revisionsgruppens deltagare ha erfarenhet av bedömning av det aktuella produktområdet och den berörda produkttekniken, och känna till de tillämpliga kraven som anges i denna förordning. Revisionen ska även omfatta ett bedömningsbesök i tillverkarens anläggning, om en sådan anläggning finns. Revisionsgruppen ska granska den tekniska dokumentation som avses i punkt 3.1 b för att kontrollera att tillverkaren känner till de tillämpliga kraven som anges i denna förordning och kan utföra de undersökningar som krävs för att säkerställa att produkten med digitala element överensstämmer med kraven.

Tillverkaren eller tillverkarens representant ska meddelas beslutet.

Meddelandet ska innehålla slutsatserna från revisionen och det motiverade bedömningsbeslutet.

3.4

Tillverkaren ska åta sig att fullgöra de skyldigheter som är förenade med det godkända kvalitetssystemet och att upprätthålla det så att det förblir ändamålsenligt och effektivt.

3.5

Tillverkaren ska informera det anmälda organ som har godkänt kvalitetssystemet om alla planerade ändringar av systemet.

Det anmälda organet ska bedöma de föreslagna ändringarna och avgöra om ett ändrat kvalitetssystem fortfarande uppfyller de krav som avses i punkt 3.2 eller om en ny bedömning är nödvändig.

Det ska meddela tillverkaren sitt beslut. Meddelandet ska innehålla slutsatserna från undersökningen och det motiverade bedömningsbeslutet.

4. Övervakning under det anmälda organets ansvar

4.1

Syftet med övervakningen är att säkerställa att tillverkaren fullgör de skyldigheter som är förenade med det godkända kvalitetssystemet.

4.2

För att möjliggöra en bedömning ska tillverkaren ge det anmälda organet tillträde till lokaler för utformning, utveckling, produktion, kontroll, provning och lagring och tillhandahålla all nödvändig information, särskilt i fråga om

a) dokumentationen av kvalitetssystemet,

b) de dokument som anges i kvalitetssystemets utformningsdel, t.ex. resultat från analyser, beräkningar och provningar,

c) de dokument som anges i kvalitetssystemets tillverkningsdel, t.ex. kontrollrapporter, provningsresultat, kalibreringsresultat och redogörelser för den berörda personalens kvalifikationer.

4.3

Det anmälda organet ska regelbundet genomföra revisioner för att säkerställa att tillverkaren vidmakthåller och tillämpar kvalitetssystemet, samt överlämna en revisionsrapport till tillverkaren.

5. Märkning om överensstämmelse och försäkran om överensstämmelse

5.1

Tillverkaren ska fästa CE-märkningen och, under ansvar av det anmälda organ som avses i punkt 3.1, organets identifikationsnummer på varje enskild produkt med digitala element som uppfyller kraven i del I i bilaga I.

5.2

En kopia av försäkran om överensstämmelse ska på begäran göras tillgänglig för de behöriga myndigheterna.

6. Tillverkaren ska under en period på minst tio år efter det att produkten med digitala element har släppts ut på marknaden eller under stödperioden, beroende på vilken period som är längst, kunna uppvisa följande för de nationella myndigheterna:

a) Den tekniska dokumentation som avses i punkt 3.1.

b) Sådan dokumentation av kvalitetssystemet som avses i punkt 3.1.

c) Godkända ändringar som avses i punkt 3.5.

d) De beslut och rapporter från det anmälda organet som avses i punkterna 3.5 och 4.3.

7. Varje anmält organ ska underrätta sina anmälande myndigheter om de godkännanden av kvalitetssystem som det har utfärdat eller återkallat och ska regelbundet eller på begäran ge de anmälande myndigheterna tillgång till förteckningen över godkännanden som det har vägrat att utfärda, tillfälligt återkallat eller på annat sätt belagt med restriktioner.

Varje anmält organ ska underrätta de övriga anmälda organen om de godkännanden av kvalitetssystem som det har vägrat utfärda eller tillfälligt eller slutgiltigt återkallat och, på begäran, om de godkännanden av kvalitetssystem som det har utfärdat.

8. Tillverkarens representant

Tillverkarens skyldigheter enligt punkterna 3.1, 3.5, 5 och 6 får fullgöras, för dennes räkning och på dennes ansvar, av tillverkarens representant, förutsatt att de relevanta skyldigheterna specificeras i fullmakten.

Ett uttalande har gjorts om denna akt och återges i EUT C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.

ELI: http://data.europa.eu/eli/reg/2024/2847/oj

ISSN 1977-0820 (electronic edition)

2.Tolkning#

Ingen tolkning tillagd ännu.