Čl. 13 · Povinnosti výrobců

1. Při uvádění produktu s digitálními prvky na trh výrobci zajistí, aby byl produkt navržen, vyvinut a vyroben v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I.

2. Pro účely splnění povinnosti stanovené v odstavci 1 provedou výrobci posouzení kybernetických bezpečnostních rizik spojených s produktem s digitálními prvky a výsledek tohoto posouzení zohlední během fáze plánování, navrhování, vývoje, výroby, dodání a údržby produktu s digitálními prvky s cílem minimalizovat kybernetická bezpečnostní rizika, předcházet incidentům a co nejvíce omezit jejich dopady, a to i v souvislosti se zdravím a bezpečností uživatelů.

3. Posouzení kybernetických bezpečnostních rizik se během doby podpory stanoveného v souladu s odstavcem 8 tohoto článku zdokumentuje a podle potřeby aktualizuje. Toto posouzení kybernetických bezpečnostních rizik zahrnuje alespoň analýzu kybernetických bezpečnostních rizik založenou na zamýšleném účelu a rozumně předvídatelném použití produktu s digitálními prvky a také na podmínkách jeho použití, jako je provozní prostředí nebo aktiva, která mají být ochráněna, s přihlédnutím k očekávané době používání produktu. Při posuzování kybernetických bezpečnostních rizik se zjistí, zda a pokud ano, jakým způsobem se bezpečnostní požadavky stanovené v příloze I části I bodě 2 vztahují na příslušný produkt s digitálními prvky a jak jsou tyto požadavky na základě posuzování kybernetických bezpečnostních rizik uplatňovány. Uvede se rovněž, jak má výrobce uplatňovat přílohu I část I bod 1 a požadavky na řešení zranitelností stanovené v příloze I části II.

4. Při uvádění produktu s digitálními prvky na trh zahrne výrobce posouzení kybernetických bezpečnostních rizik uvedené v odstavci 3 tohoto článku do technické dokumentace, jak vyžadují ustanovení článku 31 a přílohy VII. U produktů s digitálními prvky podle článku 12, který se řídí i jinými právními akty Unie, může být posouzení kybernetických bezpečnostních rizik součástí posouzení rizik vyžadovaného těmito právními akty Unie. Pokud se na produkt s digitálními prvky nevztahují určité základní požadavky na kybernetickou bezpečnost, výrobce do této technické dokumentace zahrne jasné odůvodnění.

5. Pro účely splnění povinnosti stanovené v odstavci 1 musejí výrobci při začleňování komponent pocházejících od třetích stran postupovat s náležitou péčí, aby tyto komponenty nenarušovaly kybernetickou bezpečnost produktu s digitálními prvky, včetně případů začleňování komponent svobodného softwaru s otevřeným zdrojovým kódem, které nebyly dodány na trh v rámci obchodní činnosti.

6. Po zjištění zranitelnosti v určité komponenty, včetně komponenty s otevřeným zdrojovým kódem, která je začleněna do produktu s digitálními prvky, oznámí výrobci zranitelnost osobě nebo subjektu, který komponentu vyrábí nebo provádí její údržbu, a tuto zranitelnost řeší a sjednají nápravu v souladu s požadavky na řešení zranitelností uvedenými v příloze I části II. Pokud výrobci vyvinuli změnu softwaru nebo hardwaru s cílem řešit zranitelnost této komponenty, poskytnou příslušný kód nebo dokumentaci osobě nebo subjektu, který komponentu vyrábí nebo provádí její údržbu, a to případně ve strojově čitelném formátu.

7. Výrobci systematicky dokumentují relevantní aspekty kybernetické bezpečnosti týkající se produktů s digitálními prvky, a to způsobem, který je přiměřený povaze a kybernetickým bezpečnostním rizikům, včetně zranitelností, o nichž se dozvědí, a veškerých relevantních informací poskytnutých třetími stranami, a případně aktualizují posouzení kybernetického bezpečnostního rizika produktů.

8. Při uvádění produktu s digitálními prvky na trh a během doby podpory výrobci zajistí, aby se zranitelnostmi tohoto produktu, včetně zranitelností jeho komponent, bylo nakládáno účinně a v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II.

Výrobci stanoví dobu podpory tak, aby odrážela dobu, po kterou se očekává používání produktu, zejména s přihlédnutím k přiměřeným očekáváním uživatelů, k povaze produktu, včetně jeho zamýšleného účelu, a k příslušnému právu Unie, které určuje životnost produktů s digitálními prvky. Při stanovování doby podpory mohou výrobci rovněž zohlednit dobu podpory produktů s digitálními prvky, které nabízejí podobnou funkci a byly uvedeny na trh jinými výrobci, dostupnost provozního prostředí, dobu podpory začleněných komponent, které zajišťují klíčové funkce a pocházejí od třetích stran, stejně jako příslušné pokyny, které poskytla specializovaná skupina pro správní spolupráci zřízená podle čl. 52 odst. 15 a Komise. Záležitosti, které je třeba vzít v úvahu při stanovován doby podpory, se zohledňují tak, aby byla zajištěna proporcionalita.

Aniž je dotčen druhý pododstavec, trvá doba podpory nejméně pět let. Pokud se očekává, že produkt s digitálními prvky bude používán méně než pět let, odpovídá doba podpory očekávané době použití.

S přihlédnutím k doporučením specializované skupiny pro správní spolupráci podle čl. 52 odst. 16 může Komise přijmout akty v přenesené pravomoci v souladu s článkem 61 za účelem doplnění tohoto nařízení upřesněním minimální doby podpory pro konkrétní kategorie produktů, u nichž údaje v oblasti dozoru nad trhem naznačují, že jejich doby podpory nejsou dostatečné.

Výrobci uvedou informace, které byly zohledněny při stanovování doby podpory produktu s digitálními prvky, v technické dokumentaci, jak je stanovena v příloze VII.

Výrobci mají vhodnou politiku a postupy, včetně politiky koordinovaného zveřejňování zranitelností podle přílohy I části II bodu 5, pro zpracování a nápravu možných zranitelností v produktu s digitálními prvky hlášených z interních nebo externích zdrojů.

9. Výrobci zajistí, aby každá bezpečnostní aktualizace uvedená v příloze I části II bodě 8, která byla zpřístupněna uživatelům během doby podpory, byla po vydání dále k dispozici po dobu nejméně deseti let, nebo po zbytek doby podpory, podle toho, které z těchto časových období je delší.

10. Pokud výrobce uvedl na trh další podstatně změněné verze softwarového produktu, může soulad se základním požadavkem na kybernetickou bezpečnost stanoveným v příloze I části II bodě 2 zajistit pouze pro verzi, kterou uvedl na trh jako poslední, za předpokladu, že uživatelé verzí, jež byly uvedeny na trh dříve, mají bezplatný přístup k verzi, která byla uvedena na trh jako poslední, a že jim nevznikají dodatečné náklady na úpravu hardwarového a softwarového prostředí, v němž používají původní verzi tohoto výrobku.

11. Výrobci mohou vést veřejné softwarové archivy, které rozšiřují přístup uživatelů k předchozím verzím. V takových případech jsou uživatelé snadno přístupným způsobem jasně informováni o rizicích spojených s používáním nepodporovaného softwaru.

12. Před uvedením produktu s digitálními prvky na trh vypracují výrobci technickou dokumentaci podle článku 31.

Výrobci provedou nebo nechají provést zvolené postupy posuzování shody podle článku 32.

Pokud byl v rámci postupu posuzování shody prokázán soulad produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II, vypracují výrobci EU prohlášení o shodě v souladu s článkem 28 a umístí označení CE v souladu s článkem 30.

13. Výrobci technickou dokumentaci a EU prohlášení o shodě uchovávají pro potřebu orgánů dozoru nad trhem po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší.

14. Výrobci zajistí, aby byly zavedeny postupy, díky nimž produkty s digitálními prvky, které jsou součástí sériové výroby, zůstanou ve shodě s tímto nařízením. Výrobci náležitě přihlédnou ke změnám ve vývoji a výrobním postupu nebo v návrhu či vlastnostech produktu s digitálními prvky a změnám harmonizovaných norem, evropských schémat certifikace kybernetické bezpečnosti nebo společných specifikací uvedených v článku 27, na jejichž základě se prohlašuje nebo ověřuje shoda produktu s digitálními prvky.

15. Výrobci zajistí, aby bylo na jejich produktech s digitálními prvky uvedeno číslo typu, šarže nebo série či jiný prvek umožňující jejich identifikaci, nebo pokud to není možné, aby byla tato informace uvedena na obalu nebo v dokumentu přiloženém k produktu s digitálními prvky.

16. Výrobci na produktu s digitálními prvky, na jeho obalu nebo v dokumentu přiloženém k tomuto produktu uvedou své jméno, zapsaný obchodní název nebo zapsanou ochrannou známku výrobce a poštovní adresu, e-mailovou adresu nebo jiné digitální kontaktní údaje, a případně internetovou stránku, na níž lze výrobce kontaktovat. Tyto údaje jsou obsaženy rovněž v informacích a pokynech pro uživatele stanovených v příloze II. Kontaktní údaje se uvádějí v jazyce snadno srozumitelném uživatelům a orgánům dozoru nad trhem.

17. Pro účely tohoto nařízení určí výrobci jednotné kontaktní místo, které uživatelům umožní s nimi přímo a rychle komunikovat, mimo jiné s cílem usnadnit oznamování zranitelností produktu s digitálními prvky.

Výrobci zajistí, aby bylo jednotné kontaktní místo pro uživatele snadno identifikovatelné. Jednotné kontaktní místo uvedou také v informacích a pokynech pro uživatele stanovených v příloze II.

Jednotné kontaktní místo uživatelům umožní zvolit si upřednostňované komunikační prostředky a neomezí tyto prostředky na automatizované nástroje.

18. Výrobci zajistí, aby k produktům s digitálními prvky byly v papírové nebo elektronické podobě přiloženy informace a pokyny pro uživatele stanovené v příloze II. Tyto informace a pokyny jsou poskytnuty v jazyce snadno srozumitelném uživatelům a orgánům dozoru nad trhem. Jsou jasné, srozumitelné, snadno pochopitelné a čitelné. Umožňují bezpečnou instalaci, provoz a používání produktů s digitálními prvky. Výrobci tyto informace a pokyny pro uživatele stanovené v příloze II uchovávají pro potřebu uživatelů a orgánů dozoru nad trhem po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší. Pokud jsou tyto informace a pokyny poskytovány online, výrobci zajistí, aby byly přístupné, uživatelsky přívětivé a dostupné online po dobu nejméně deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší.

19. Výrobci zajistí, aby byl v době nákupu jasně a srozumitelně uveden alespoň měsíc a rok skončení doby podpory stanovené v odstavci 8, snadno přístupným způsobem, a to na produktu s digitálními prvky, případně na jeho obalu nebo digitálními prostředky.

Je-li to s ohledem na povahu produktu s digitálními prvky technicky proveditelné, zobrazí výrobci uživatelům oznámení, kterým je informují o tom, že jejich produktu s digitálními prvky končí doba podpory.

20. Výrobci k produktu s digitálními prvky přiloží buď kopii EU prohlášení o shodě, nebo zjednodušené EU prohlášení o shodě. Je-li poskytnuto zjednodušené EU prohlášení o shodě, musí obsahovat přesnou internetovou adresu, kde je přístupné celé EU prohlášení o shodě.

21. Od uvedení na trh a po dobu podpory výrobci, kteří vědí nebo mají důvod se domnívat, že produkt s digitálními prvky nebo postupy zavedené výrobcem nejsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, přijmou okamžitě nápravná opatření nezbytná k dosažení shody produktu s digitálními prvky nebo postupů výrobce nebo případně ke stažení produktu z trhu či z oběhu.

22. Výrobci poskytnou orgánu dozoru nad trhem na základě jeho odůvodněné žádosti v jazyce, kterému tento orgán snadno rozumí, všechny informace a dokumentaci v papírové nebo elektronické podobě nezbytnou k prokázání shody produktu s digitálními prvky a postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I. Na žádost tohoto orgánu s ním výrobci spolupracují na veškerých opatřeních přijatých k odstranění kybernetických bezpečnostních rizik představovaných produktem s digitálními prvky, který uvedli na trh.

23. Výrobce, který ukončí svou činnost, a v důsledku toho není schopen dodržovat toto nařízení, informuje před tím, než ukončení činnosti nabude účinku, příslušné orgány dozoru nad trhem a v co největší míře také uživatele příslušných produktů s digitálními prvky uvedené na trh o nadcházejícím ukončení činnosti.

24. Komise může prostřednictvím prováděcích aktů zohledňujících evropské nebo mezinárodní normy a osvědčené postupy stanovit formát a prvky softwarového kusovníku uvedeného v příloze I části II bodě 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 62 odst. 2.

25. Za účelem posouzení závislosti členských států a Unie jako celku na softwarových komponentách, a zejména na komponentách, které jsou považovány za svobodný software s otevřeným zdrojovým kódem, se může specializovaná skupina pro správní spolupráci rozhodnout provést celounijní posouzení závislosti u konkrétních kategorií produktů s digitálními prvky. Za tímto účelem mohou orgány dozoru nad trhem požádat výrobce těchto kategorií produktů s digitálními prvky, aby poskytli příslušné softwarové kusovníky uvedené v příloze I části II bodě 1. Na základě těchto informací mohou orgány dozoru nad trhem poskytnout specializované skupině pro správní spolupráci anonymizované souhrnné informace o závislosti na softwaru. Specializovaná skupina pro správní spolupráci předloží zprávu o výsledcích posouzení závislosti skupině pro spolupráci zřízené podle článku 14 směrnice (EU) 2022/2555.