Nařízení (EU) 2024/2847 (akt o kybernetické odolnosti) · Kapitola I · Obecná ustanovení
Čl. 6 · Požadavky na produkty s digitálními prvky
Znění
Produkty s digitálními prvky se na trh dodávají pouze tehdy, pokud:
a) splňují základní požadavky na kybernetickou bezpečnost stanovené v části I přílohy I, za předpokladu, že jsou řádně instalovány, udržovány, používány k zamýšlenému účelu nebo za podmínek, které lze rozumně předvídat, a případně vybaveny nezbytnými bezpečnostními aktualizacemi, a
b) postupy zavedené výrobcem jsou v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v části II přílohy I.
Znění: Úřední věstník EU, L, 2024/2847 z 20. 11. 2024.
Komentář
Vstupní norma celého nařízení a nejkratší článek s největším dopadem. Produkt se smí dodat na trh, jen splňuje-li základní požadavky z části I přílohy I a jsou-li postupy výrobce v souladu s částí II téže přílohy. Bez přílohy I se tenhle článek nedá použít.
Související ustanovení: čl. 13 (jak je výrobce plní); čl. 27 (předpoklad shody); čl. 32 (posouzení shody); čl. 64 odst. 2 (sankce); příloha I
Obsah výkladu
I.Nejkratší článek s největším dopadem1 II.Dvě části přílohy I3I. Nejkratší článek s největším dopadem
1 Celý článek má dvě písmena a v nich stojí zákaz, o který se opírá zbytek nařízení: produkt se smí dodat na trh, jen splňuje-li základní požadavky podle části I přílohy I a jsou-li postupy zavedené výrobcem v souladu s částí II téže přílohy.
2 Písmeno a) má vestavěnou podmínku, kterou se v praxi argumentuje: požadavky platí za předpokladu, že je produkt „řádně instalován, udržován, používán k zamýšlenému účelu nebo za podmínek, které lze rozumně předvídat” a případně vybaven nezbytnými bezpečnostními aktualizacemi. Nesprávné použití uživatelem tedy nezakládá porušení na straně výrobce, ale hranice je u rozumné předvídatelnosti, ne u návodu.
II. Dvě části přílohy I
3 Rozdělení přílohy I je systematicky důležité. Část I mluví o vlastnostech produktu (bezpečné výchozí nastavení, ochrana proti neoprávněnému přístupu, důvěrnost a integrita dat, minimalizace útočné plochy, možnost obnovy). Část II mluví o procesech výrobce (evidence komponent, řešení zranitelností, bezplatné bezpečnostní aktualizace, koordinované zveřejňování).
4 Z toho plyne, že soulad nelze doložit jen zkouškou produktu. Prokazuje se i to, jak výrobce pracuje, a tahle část se dokládá dokumentací, ne měřením.
5 Porušení tohoto článku spadá podle čl. 64 odst. 2 do nejvyššího pokutového pásma, tedy až 15 000 000 EUR nebo 2,5 % celosvětového obratu.