Nařízení (EU) 2024/2847 (akt o kybernetické odolnosti) · Kapitola IV · Oznamování subjektů posuzování shody
Čl. 39 · Požadavky týkající se oznámených subjektů
Znění
-
Pro účely oznámení musí subjekt posuzování shody splňovat požadavky stanovené v odstavcích 2 až 12.
-
Subjekt posuzování shody musí být zřízen podle vnitrostátního práva a mít právní subjektivitu.
-
Subjekt posuzování shody musí být třetí stranou nezávislou na organizaci nebo produktu s digitálními prvky, které posuzuje.
Za subjekt, který je třetí stranou, může být považován subjekt patřící k hospodářskému sdružení nebo profesnímu svazu, které zastupují podniky zapojené do projektování, vývoje, výroby, dodávání, montáže, používání nebo údržby produktů s digitálními prvky, které tento subjekt posuzuje, pokud je prokázána jeho nezávislost a neexistence jakéhokoli střetu zájmů.
- Subjekt posuzování shody, jeho nejvyšší vedení a pracovníci odpovědní za vykonávání úkolů posuzování shody nesmějí být osobami, které projektují, vyvíjejí, vyrábějí, dodávají, dovážejí, distribuují, instalují, nakupují, vlastní, používají nebo udržují produkty s digitálními prvky, které posuzují, ani zplnomocněnými zástupci kterékoli z těchto stran. To nevylučuje používání posuzovaných produktů, které jsou nezbytné pro činnost subjektu posuzování shody, ani používání takových produktů k osobním účelům.
Subjekt posuzování shody, jeho nejvyšší vedení a pracovníci odpovědní za vykonávání úkolů posuzování shody se nesmějí přímo podílet na projektování, vývoji, výrobě, dovozu, distribuci, nabízení, instalaci, používání ani údržbě produktů s digitálními prvky, které posuzují, ani nesmějí zastupovat strany, které se těmito činnostmi zabývají. Nesmějí vykonávat žádnou činnost, která by mohla ohrozit jejich nezávislý úsudek nebo integritu ve vztahu k činnostem při posuzování shody, k jejímuž vykonávání jsou oznámeni. To platí zejména pro poradenské služby.
Subjekty posuzování shody musí zajistit, aby činnosti jejich dceřiných společností nebo subdodavatelů neohrožovaly důvěrnost, objektivitu a nestrannost jejich činnosti při posuzování shody.
-
Subjekty posuzování shody a jejich pracovníci vykonávají činnost při posuzování shody na nejvyšší úrovni profesní integritu a požadované odborné způsobilosti v konkrétní oblasti a nesmějí být vystaveni žádným tlakům a podnětům, zejména finančním, které by mohly ovlivnit jejich úsudek nebo výsledky jejich činnosti při posuzování shody, zejména ze strany osob nebo skupin osob, které mají na výsledcích této činnosti zájem.
-
Subjekt posuzování shody musí být schopen plnit všechny úkoly spojené s posuzováním shody podle přílohy VIII, v souvislosti s nímž byl oznámen, bez ohledu na to, zda tyto úkoly plní subjekt posuzování shody sám, nebo jsou plněny jeho jménem a na jeho odpovědnost.
Subjekt posuzování shody musí mít vždy a pro každý postup posuzování shody a každý druh nebo kategorii produktů s digitálními prvky, v souvislosti s nímž byl oznámen, k dispozici nezbytné:
a) pracovníky s odbornými znalostmi a dostatečnými zkušenostmi potřebnými k plnění úkolů spojených s posuzováním shody,
b) popisy postupů, podle nichž má být posuzování shody prováděno, aby byla zajištěna transparentnost těchto postupů a možnost jejich zopakování. Musí mít zavedenu náležitou politiku a postupy pro rozlišení mezi úkoly, jež vykonává jako oznámený subjekt, a svou další činností,
c) postupy pro výkon činností, které řádně zohledňují velikost podniku, odvětví, v němž působí, jeho strukturu, míru složitosti technologie daného produktu a hromadný či sériový způsob výroby.
Subjekt posuzování shody musí mít prostředky nezbytné k řádnému plnění technických a administrativních úkolů spojených s činností při posuzování shody a musí mít přístup k veškerému potřebnému vybavení nebo zařízením.
- Pracovníci odpovědní za provádění činnosti při posuzování shody musí:
a) mít dobrou technickou a odbornou přípravu zahrnující veškerou činnost při posuzování shody, v souvislosti s nímž byl subjekt posuzování shody oznámen,
b) mít uspokojivou znalost požadavků souvisejících s posuzováním, které provádějí, a odpovídající pravomoc toto posuzování provádět,
c) mít náležité znalosti základních požadavků na kybernetickou bezpečnost stanovených v příloze I, použitelných harmonizovaných norem a společných specifikací a příslušných ustanovení právních předpisů Unie a jejich prováděcích aktů a rozumět jim,
d) být schopni vypracovávat certifikáty, záznamy a zprávy prokazující provedení posuzování shody.
- Musí být zaručena nestrannost subjektů posuzování shody, jejich nejvyššího vedení a pracovníků, kteří posuzování provádějí.
Odměňování nejvyššího vedení a pracovníků subjektu posuzování shody, kteří posuzování provádějí, nesmí záviset na počtu provedených posouzení ani na jejich výsledcích.
-
Subjekty posuzování shody uzavřou pojištění odpovědnosti za škodu, pokud tuto odpovědnost nepřevzal jejich členský stát v souladu s vnitrostátním právem nebo pokud není za posuzování shody přímo odpovědný sám členský stát.
-
Pracovníci subjektu posuzování shody zachovávají služební tajemství, pokud jde o veškeré informace, které obdrželi při plnění svých úkolů podle přílohy VIII nebo podle jakéhokoli ustanovení vnitrostátního práva, kterými se provádí, s výjimkou styku s příslušnými orgány dozoru nad trhem členského státu, v němž vykonávají svou činnost. Vlastnická práva jsou chráněna. Subjekt posuzování shody musí mít dokumentované postupy zajišťující soulad s tímto odstavcem.
-
Subjekty posuzování shody se podílejí na příslušné normalizační činnosti a na činnosti koordinační skupiny oznámených subjektů zřízené podle článku 51 nebo zajistí, aby byli jejich pracovníci o této činnosti informováni, a obecně se řídí správními rozhodnutími a jinými dokumenty, které jsou výsledkem práce této skupiny.
-
Subjekty posuzování shody fungují v souladu se souborem důsledných, spravedlivých, přiměřených a opodstatněných podmínek a zároveň brání zbytečnému zatěžování hospodářských subjektů, zejména s přihlédnutím k zájmům mikropodniků a malých a středních podniků, co se týče poplatků.
Znění: Úřední věstník EU, L, 2024/2847 z 20. 11. 2024.
Komentář
Požadavky na oznámené subjekty: právní subjektivita, nezávislost, odbornost, pojištění odpovědnosti a mlčenlivost. Tenhle článek je zároveň v pásmu pokut do 10 milionů eur podle čl. 64 odst. 3.
Související ustanovení: čl. 40; čl. 41; čl. 47; čl. 64 odst. 3 (sankce)
Obsah výkladu
I.Katalog požadavků1 II.Nezávislost jako jádro3I. Katalog požadavků
1 Subjekt musí být zřízen podle vnitrostátního práva a mít právní subjektivitu, disponovat odborností a personálem, být pojištěn pro případ odpovědnosti, zachovávat mlčenlivost a účastnit se normalizační a koordinační činnosti.
2 Odbornost se posuzuje ve vztahu ke kategoriím produktů, pro které je subjekt oznámen. Nejde tedy o obecnou způsobilost, ale o způsobilost pro daný rozsah.
II. Nezávislost jako jádro
3 Okruh osob, na které zákaz dopadá, je užší, než se obvykle uvádí: je to subjekt, jeho nejvyšší vedení a pracovníci odpovědní za vykonávání úkolů posuzování shody, nikoli všichni zaměstnanci. Tyto osoby nesmějí produkt, který posuzují, projektovat, vyvíjet, vyrábět, dodávat, dovážet, distribuovat, instalovat, nakupovat, vlastnit, používat ani udržovat, ani zastupovat toho, kdo to dělá.
4 Ke znaku „používat” má odst. 4 vlastní výjimku, bez které by ustanovení nešlo splnit: nevylučuje se používání posuzovaných produktů nezbytných pro činnost subjektu ani jejich používání k osobním účelům. Laboratoř tedy nemusí řešit, že její zaměstnanci mají doma tentýž router.
5 Samostatně je zakázáno vykonávat cokoli, co by mohlo ohrozit nezávislý úsudek, „zejména poradenské služby”. To je hranice, na kterou naráží běžný model, kdy tentýž dům nabízí konzultaci i certifikaci.
6 Za nezávislou třetí stranu lze podle odst. 3 považovat i subjekt patřící k hospodářskému sdružení nebo profesnímu svazu zastupujícímu dotčené podniky, je-li prokázána jeho nezávislost a neexistence střetu zájmů. Členství ve svazu tedy samo o sobě diskvalifikací není.
7 Odměňování nesmí záviset na počtu provedených posouzení ani na jejich výsledcích. Je to nejúčinnější pojistka proti měkkému posuzování a zároveň to, co si má výrobce ověřit dřív, než si subjekt vybere.
8 Porušení tohoto článku spadá podle čl. 64 odst. 3 do pásma do 10 000 000 EUR nebo 2 % obratu. Adresátem sankce je tedy i oznámený subjekt, ne jen výrobce.