Čl. 3 · Definice

Pro účely tohoto nařízení se rozumí:

1. „produktem s digitálními prvky“ softwarový nebo hardwarový produkt a jeho řešení pro zpracování dat na dálku, včetně softwarových nebo hardwarových komponent, které jsou uváděny na trh samostatně;

2. „zpracováním dat na dálku“ zpracování dat na dálku, pro které výrobce navrhuje a vyvíjí software nebo za jehož návrh a vývoj výrobce odpovídá, přičemž neexistence tohoto softwaru by bránila tomu, aby produkt s digitálními prvky plnil některou ze svých funkcí;

3. „kybernetickou bezpečností“ kybernetická bezpečnost ve smyslu čl. 2 bodu 1 nařízení (EU) 2019/881;

4. „softwarem“ část elektronického informačního systému, která sestává z počítačového kódu;

5. „hardwarem“ fyzický elektronický informační systém nebo jeho části schopné zpracovávat, uchovávat nebo přenášet digitální data;

6. „komponenta“ software nebo hardware určený pro začlenění do elektronického informačního systému;

7. „elektronickým informačním systémem“ systém, včetně elektrických nebo elektronických zařízení, který je schopen zpracovávat, uchovávat nebo přenášet digitální data;

8. „logickým připojením“ virtuální forma datového připojení zajišťovaná prostřednictvím softwarového rozhraní;

9. „fyzickým připojením“ spojení mezi elektronickými informačními systémy nebo komponentami zajišťované fyzickými prostředky, včetně elektrických, optických nebo mechanických rozhraní, vodičů nebo rádiových vln;

10. „nepřímým připojením“ připojení k zařízení nebo síti, které neprobíhá přímo, ale spíše jako součást větší soustavy, kterou lze k tomuto zařízení nebo síti přímo připojit;

11. „koncovým bodem“ jakékoli zařízení, které je připojeno k síti a slouží jako vstupní bod do této sítě;

12. „hospodářským subjektem“ výrobce, zplnomocněný zástupce, dovozce, distributor nebo jiná fyzická nebo právnická osoba, na kterou se vztahují povinnosti v souvislosti s výrobou produktů s digitálními prvky nebo s jejich dodáváním na trh v souladu s tímto nařízením;

13. „výrobcem“ fyzická nebo právnická osoba, která vyvíjí nebo vyrábí produkty s digitálními prvky, nebo která nechala produkty s digitálními prvky navrhnout, vyvinout nebo vyrobit a nabízí je pod svým jménem nebo ochrannou známkou, ať už za úplatu, jiné zpeněžení nebo bezplatně;

14. „správcem softwaru s otevřeným zdrojovým kódem“ právnická osoba jiná než výrobce, jejímž účelem nebo cílem je systematicky a dlouhodobě podporovat vývoj konkrétních produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem a určených pro obchodní činnost, a která zajišťuje životaschopnost těchto produktů;

15. „zplnomocněným zástupcem“ fyzická nebo právnická osoba usazená v Unii, která byla výrobcem písemně pověřena, aby při plnění konkrétních úkolů jednala jeho jménem;

16. „dovozcem“ fyzická nebo právnická osoba usazená v Unii, která uvádí na trh produkt s digitálními prvky označený jménem nebo ochrannou známkou fyzické nebo právnické osoby usazené mimo Unii;

17. „distributorem“ fyzická nebo právnická osoba v dodavatelském řetězci jiná než výrobce nebo dovozce, která dodává produkt s digitálními prvky na trh Unie, aniž by ovlivňovala jeho vlastnosti;

18. „spotřebitelem“ fyzická osoba, která jedná za účelem, který není v rámci její obchodní činnosti, podnikání, řemesla nebo povolání;

19. „mikropodniky“, „malými podniky“ a „středními podniky“ mikropodniky, malé podniky a střední podniky ve smyslu definice uvedené v příloze k doporučení 2003/361/ES;

20. „dobou podpory“ období, během něhož musí výrobce zajistit, aby se zranitelnosti produktu s digitálními prvky řešily účinně a v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II;

21. „uvedením na trh“ první dodání produktu s digitálními prvky na trh Unie;

22. „dodáním na trh“ dodání produktu s digitálními prvky k distribuci nebo použití na trhu Unie v rámci obchodní činnosti, ať už za úplatu, nebo bezplatně;

23. „zamýšleným účelem“ použití produktu s digitálními prvky určené výrobcem, včetně konkrétního kontextu a podmínek použití, které jsou uvedeny v informacích dodaných výrobcem v návodu k použití, v propagačních nebo prodejních materiálech a prohlášeních, jakož i v technické dokumentaci;

24. „rozumně předvídatelným použitím“ použití, které není nutně zamýšleným účelem uvedeným výrobcem v návodu k použití, propagačních nebo prodejních materiálech a prohlášeních, jakož i v technické dokumentaci, ale které pravděpodobně vyplývá z důvodně předvídatelného lidského chování nebo technických operací nebo interakcí;

25. „rozumně předvídatelným nesprávným použitím“ použití produktu s digitálními prvky způsobem, který není v souladu s jeho zamýšleným účelem, avšak může vyplývat z důvodně předvídatelného lidského chování nebo z interakce s jinými systémy;

26. „oznamujícím orgánem“ vnitrostátní orgán odpovědný za stanovení a provádění postupů nezbytných pro posuzování, jmenování a oznamování subjektů posuzování shody a za jejich monitorování;

27. „posouzením shody“ postup ověřující, zda byly splněny základní požadavky na kybernetickou bezpečnost stanovené v příloze I;

28. „subjektem posuzování shody“ subjekt posuzování shody ve smyslu čl. 2 bodu 13 nařízení (ES) č. 765/2008;

29. „oznámeným subjektem“ subjekt posuzování shody určený v souladu s článkem 43 a dalšími příslušnými harmonizačními právními předpisy Unie;

30. „podstatnou změnou“ změna produktu s digitálními prvky po jeho uvedení na trh, která ovlivňuje soulad produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v části I přílohy I, nebo která vede ke změně zamýšleného účelu, pro nějž bylo provedeno posouzení produktu s digitálními prvky;

31. „označením CE“ označení, kterým výrobce vyjadřuje, že produkt s digitálními prvky a postupy zavedené výrobcem jsou ve shodě se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I a s dalšími použitelnými harmonizačními právními předpisy Unie, které upravují umístění tohoto označení;

32. „harmonizačními právními předpisy Unie“ právní předpisy Unie uvedené v příloze I nařízení (EU) 2019/1020 a jakékoli jiné právní předpisy Unie harmonizující podmínky pro nabízení výrobků, na něž se vztahuje uvedené nařízení, na trh;

33. „orgánem dozoru nad trhem“ orgán dozoru nad trhem ve smyslu čl. 3 bodu 4 nařízení (EU) 2019/1020;

34. „mezinárodní normou“ mezinárodní norma ve smyslu čl. 2 bodu 1 písm. a) nařízení (EU) č. 1025/2012;

35. „evropskou normou“ evropská norma ve smyslu čl. 2 odst. 1 písm. b) nařízení (EU) č. 1025/2012;

36. „harmonizovanou normou“ harmonizovaná norma ve smyslu čl. 2 bodu 1 písm. c) nařízení (EU) č. 1025/2012;

37. „kybernetickým bezpečnostním rizikem“ možnost ztráty nebo narušení v důsledku incidentu, přičemž toto riziko má být vyjádřeno jako kombinace rozsahu takové ztráty nebo takového narušení a pravděpodobnosti výskytu incidentu;

38. „významným kybernetickým bezpečnostním rizikem“ kybernetické bezpečnostní riziko, o němž lze na základě jeho technických charakteristik předpokládat, že u něj existuje vysoká pravděpodobnost incidentu, který by mohl vést k závažnému negativnímu dopadu, mimo jiné způsobením značné hmotné nebo nehmotné ztráty nebo narušení;

39. „softwarovým kusovníkem“ (SBOM) formální záznam obsahující podrobné informace o komponentách obsažených v softwarových prvcích produktu s digitálními prvky a o vztazích těchto komponent k dodavatelskému řetězci;

40. „zranitelností“ slabina, snížená odolnost nebo chyba produktu s digitálními prvky, kterou lze zneužít v rámci kybernetické hrozby;

41. „zneužitelnou zranitelností“ zranitelnost, která může být za praktických provozních podmínek účinně zneužita nepřátelským subjektem;

42. „aktivně zneužívanou zranitelností“ zranitelnost, u níž existují spolehlivé důkazy o tom, že ji škodlivý aktér v systému zneužil bez svolení vlastníka systému;

43. „incidentem“ incident ve smyslu čl. 6 bodu 6 směrnice (EU) 2022/2555;

44. „incidentem s dopadem na bezpečnost produktu s digitálními prvky“ incident, který negativně ovlivňuje nebo může negativně ovlivnit schopnost produktu s digitálními prvky chránit dostupnost, autenticitu, integritu nebo důvěrnost dat nebo funkcí;

45. „významnou událostí“ významná událost ve smyslu čl. 6 bodu 5 směrnice (EU) 2022/2555;

46. „kybernetickou hrozbou“ kybernetická hrozba ve smyslu čl. 2 bodu 8 nařízení (EU) 2019/881;

47. „osobními údaji“ osobní údaje ve smyslu čl. 4 bodu 1 nařízení (EU) 2016/679;

48. „svobodným softwarem s otevřeným zdrojovým kódem“ software, jehož zdrojový kód je volně sdílen a který je zpřístupněn na základě licence k svobodnému softwaru s otevřeným zdrojovým kódem, jež poskytuje veškerá práva na to, aby byl volně přístupný, použitelný, upravitelný a dále distribuovatelný;

49. „stažením z oběhu“ stažení z oběhu ve smyslu čl. 3 bodu 22 nařízení (EU) 2019/1020;

50. „stažením z trhu“ stažení z trhu ve smyslu čl. 3 bodu 23 nařízení (EU) 2019/1020;

51. „týmem CSIRT určeným jako koordinátor“ tým CSIRT, který byl určen koordinátorem podle čl. 12 odst. 1 směrnice (EU) 2022/2555.