Příloha VIII · POSTUPY POSUZOVÁNÍ SHODY

Část I Postup posuzování shody založený na interní kontrole (na základě modulu A)

1. Interní kontrola je postupem posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2, 3 a 4 této části a na vlastní odpovědnost zaručuje a prohlašuje, že produkty s digitálními prvky splňují všechny základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

2. Výrobce vypracuje technickou dokumentaci podle přílohy VII.

3. Návrh, vývoj, výroba a řešení zranitelností produktů s digitálními prvky

Výrobce přijme veškerá nezbytná opatření, aby postupy pro návrh, vývoj, výrobu a řešení zranitelností a jejich monitorování zajišťovaly soulad vyráběných nebo vyvíjených produktů s digitálními prvky a postupů zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a II.

4. Označení shody a prohlášení o shodě

4.1. Výrobce umístí označení CE na každý jednotlivý produkt s digitálními prvky, který splňuje příslušné požadavky stanovené v tomto nařízení.

4.2. Výrobce vypracuje pro každý produkt s digitálními prvky v souladu s článkem 28 písemné EU prohlášení o shodě a po dobu deseti let poté, co byl produkt s digitálními prvky uveden na trh, nebo po dobu trvání doby podpory, podle toho, které z těchto období je delší, je společně s technickou dokumentací uchovává, aby byly k dispozici vnitrostátním orgánům. V EU prohlášení o shodě je uveden produkt s digitálními prvky, pro nějž bylo vypracováno. Kopie EU prohlášení o shodě se na žádost poskytne příslušným orgánům.

5. Zplnomocnění zástupci

Povinnosti výrobce stanovené v bodě 4 mohou být jeho jménem a na jeho odpovědnost splněny jeho zplnomocněným zástupcem, pokud jsou příslušné povinnosti uvedeny v pověření.

Část II EU přezkoušení typu (na základě modulu B)

1. EU přezkoušení typu je tou částí postupu posuzování shody, v níž oznámený subjekt přezkoumává technický návrh a vývoj produktu s digitálními prvky a postupy řešení zranitelností zavedené výrobcem a osvědčí, že produkt s digitálními prvky splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

2. EU přezkoušení typu se provádí posouzením vhodnosti technického návrhu a vývoje produktu s digitálními prvky prostřednictvím přezkoumání technické dokumentace a podkladů podle bodu 3 a přezkoušením vzorků jedné nebo více kritických částí produktu (kombinace výrobního typu a konstrukčního typu).

3. Výrobce podá u jediného oznámeného subjektu, který si zvolil, žádost o EU přezkoušení typu.

Žádost obsahuje:

3.1. jméno a adresu výrobce, a pokud žádost podává zplnomocněný zástupce, jméno a adresu tohoto zplnomocněného zástupce,

3.2. písemné prohlášení, že stejná žádost nebyla podána u jiného oznámeného subjektu,

3.3. technickou dokumentaci, která musí umožňovat posouzení shody produktu s digitálními prvky s příslušnými základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a postupy výrobce pro řešení zranitelností stanovenými v příloze I části II, a zahrnuje odpovídající analýzu a posouzení rizik. V technické dokumentaci musejí být uvedeny příslušné požadavky a v míře nutné pro posouzení se musí vztahovat na návrh, výrobu a fungování produktu s digitálními prvky. Technická dokumentace obsahuje v příslušných případech alespoň prvky stanovené v příloze VII,

3.4. podklady dokládající přiměřenost technických návrhů a vývojových řešení a postupů řešení zranitelností. Tyto podklady musejí odkazovat na všechny příslušné dokumenty, které byly použity, zejména pokud příslušné harmonizované normy nebo technické specifikace nebyly použity v celém rozsahu. Podklady zahrnují v případě potřeby výsledky zkoušek provedených příslušnou laboratoří výrobce nebo jinou zkušební laboratoří jeho jménem a na jeho odpovědnost.

4. Oznámený subjekt:

4.1. přezkoumá technickou dokumentaci a podklady s cílem posoudit přiměřenost technického návrhu a vývoje produktu s digitálními prvky se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů pro řešení zranitelností zavedených výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části II;

4.2. ověří, zda byly vzorky vyvinuty nebo vyrobeny ve shodě s technickou dokumentací, a určí prvky, které byly navrženy a vyvinuty v souladu s použitelnými ustanoveními příslušných harmonizovaných norem nebo technických specifikací, a také prvky, které byly navrženy a vyvinuty, aniž byla použita příslušná ustanovení uvedených norem;

4.3. provede nebo nechá provést vhodná přezkoušení a zkoušky, aby ověřil, zda v případě, že výrobce zvolil pro požadavky stanovené v příloze I řešení podle příslušných harmonizovaných norem nebo technických specifikací, byly tyto normy a specifikace použity správně;

4.4. provede nebo nechá provést příslušná přezkoušení a zkoušky, aby ověřil, zda v případě, že pro požadavky stanovené v příloze I nebyla použita řešení podle příslušných harmonizovaných norem nebo technických specifikací, splňují řešení, která výrobce použil, odpovídající základní požadavky na kybernetickou bezpečnost;

4.5. dohodne se s výrobcem, na kterém místě budou přezkoušení a zkoušky provedeny.

5. Oznámený subjekt vypracuje zprávu o hodnocení, která zaznamená činnosti provedené podle bodu 4 a jejich výstupy. Aniž jsou dotčeny povinnosti oznámeného subjektu vůči oznamujícím orgánům, zveřejní oznámený subjekt obsah této zprávy, v celém rozsahu nebo částečně, pouze se souhlasem výrobce.

6. Pokud typ a postupy řešení zranitelností splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I, vydá oznámený subjekt výrobci certifikát o EU přezkoušení typu. Certifikát musí obsahovat jméno a adresu výrobce, závěry přezkoušení, podmínky platnosti certifikátu (existují-li) a údaje nezbytné k identifikaci schváleného typu a postupů řešení zranitelností. K certifikátu může být přiložena jedna nebo více příloh.

Certifikát a jeho přílohy obsahují všechny náležité informace umožňující vyhodnotit, zda jsou vyrobené nebo vyvinuté produkty s digitálními prvky ve shodě s přezkoušeným typem a postupy řešení zranitelností, a provést kontrolu za provozu.

Pokud typ a postupy řešení zranitelností nesplňují příslušné základní požadavky na kybernetickou bezpečnost stanovené v příloze I, oznámený subjekt odmítne vydat certifikát o EU přezkoušení typu a uvědomí o tom žadatele, přičemž odmítnutí podrobně odůvodní.

7. Oznámený subjekt dbá na to, aby byl informován o veškerých změnách obecně uznávaného stavu techniky, které by naznačovaly, že schválený typ a postupy řešení zranitelností již nemusí být v souladu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I, a rozhodne, zda tyto změny vyžadují doplňující šetření. Pokud šetření vyžadují, oznámený subjekt o tom informuje výrobce.

Výrobce informuje oznámený subjekt, který uchovává technickou dokumentaci týkající se certifikátu o EU přezkoušení typu, o veškerých změnách schváleného typu a postupech řešení zranitelností, které mohou ovlivnit shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I nebo podmínky platnosti certifikátu. Tyto změny vyžadují dodatečné schválení formou dodatku k původnímu certifikátu o EU přezkoušení typu.

8. Oznámený subjekt provádí pravidelné audity, aby zajistil příslušné uplatňování postupů řešení zranitelností, které jsou uvedeny v příloze I části II.

9. Každý oznámený subjekt informuje své oznamující orgány o certifikátech o EU přezkoušení typu nebo dodatcích k nim, které vydal nebo zrušil, a pravidelně či na žádost zpřístupní svým oznamujícím orgánům seznam certifikátů nebo dodatků k nim, které zamítl, pozastavil či jinak omezil.

Každý oznámený subjekt informuje ostatní oznámené subjekty o certifikátech o EU přezkoušení typu nebo dodatcích k nim, které zamítl, zrušil, pozastavil či jinak omezil, a na žádost také o certifikátech nebo dodatcích k nim, které vydal.

Komise, členské státy a ostatní oznámené subjekty mohou na žádost obdržet kopii certifikátů o EU přezkoušení typu a veškerých jejich dodatků. Komise a členské státy mohou na základě žádosti obdržet kopii technické dokumentace a výsledků přezkoušení provedených oznámeným subjektem. Do uplynutí doby platnosti certifikátu o EU přezkoušení typu uchovává oznámený subjekt kopii uvedeného certifikátu, jeho příloh a dodatků a také soubor technické dokumentace včetně dokumentace předložené výrobcem.

10. Po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto období je delší, uchovává výrobce pro potřebu vnitrostátních orgánů kopii certifikátu EU přezkoušení typu, jeho příloh a dodatků spolu s technickou dokumentací.

11. Zplnomocněný zástupce výrobce může podat žádost uvedenou v bodě 3 a plnit povinnosti stanovené v bodech 7 a 10 za předpokladu, že jsou uvedeny v pověření.

Část III Shoda s typem založená na interním řízení výroby (na základě modulu C)

1. Shoda s typem založená na interním řízení výroby je tou částí postupu posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2 a 3 této části a zaručuje a prohlašuje, že dané produkty s digitálními prvky jsou ve shodě s typem popsaným v certifikátu EU přezkoušení typu a splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že výrobce splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

2. Výroba

Výrobce přijme veškerá nezbytná opatření, aby výroba a její kontrola zajišťovaly shodu vyráběných produktů s digitálními prvky se schváleným typem popsaným v certifikátu EU přezkoušení typu a se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I, a zajišťuje, že splňuje základní požadavky na kybernetickou bezpečnost stanovené v příloze I části II.

3. Označení shody a prohlášení o shodě

3.1. Výrobce umístí označení CE na každý jednotlivý produkt s digitálními prvky, který je ve shodě s typem popsaným v certifikátu EU přezkoušení typu a splňuje příslušné požadavky stanovené v tomto nařízení.

3.2. Výrobce vypracuje pro daný model produktu písemné prohlášení o shodě a po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší, je uchovává pro potřebu vnitrostátních orgánů. V prohlášení o shodě se uvede model produktu, pro nějž bylo vypracováno. Kopie prohlášení o shodě se na žádost poskytne příslušným orgánům.

4. Zplnomocněný zástupce

Povinnosti výrobce stanovené v bodě 3 mohou být jeho jménem a na jeho odpovědnost splněny jeho zplnomocněným zástupcem, pokud jsou uvedeny v příslušném pověření.

Část IV Shoda založená na komplexním zabezpečování kvality (na základě modulu H)

1. Shoda založená na komplexním zabezpečování kvality je postupem posuzování shody, kterým výrobce plní povinnosti stanovené v bodech 2 a 5 této části a na vlastní odpovědnost zaručuje a prohlašuje, že dané produkty s digitálními prvky nebo kategorie produktů splňují základní požadavky na kybernetickou bezpečnost stanovené v příloze I části I a že postupy pro řešení zranitelností zavedené výrobcem splňují požadavky stanovené v příloze I části II.

2. Návrh, vývoj, výroba a řešení zranitelností produktů s digitálními prvky

Výrobce používá schválený systém kvality podle bodu 3 pro navrhování, vývoj a závěrečnou kontrolu a zkoušení daných produktů s digitálními prvky a pro řešení zranitelností, zachovává jeho účinnost během doby podpory a podléhá dozoru podle bodu 4.

3. Systém kvality

3.1. Výrobce podá u oznámeného subjektu, který si zvolil, žádost o posouzení svého systému kvality pro dané produkty s digitálními prvky.

Žádost obsahuje:

a) jméno a adresu výrobce, a pokud žádost podává zplnomocněný zástupce, jméno a adresu tohoto zplnomocněného zástupce,

b) technickou dokumentaci pro jeden model z každé kategorie produktů s digitálními prvky, které se mají vyrábět nebo vyvíjet. Technická dokumentace obsahuje v příslušných případech přinejmenším prvky stanovené v příloze VII této směrnice,

c) dokumentaci týkající se systému kvality a

d) písemné prohlášení, že stejná žádost nebyla podána u jiného oznámeného subjektu.

3.2. Systém kvality zajistí shodu produktů se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I části I a soulad postupů pro řešení zranitelností zavedených výrobcem s požadavky stanovenými v příloze I části II.

Všechny prvky, požadavky a předpisy používané výrobcem musejí být systematicky a uspořádaně dokumentovány ve formě písemných koncepcí, postupů a návodů. Dokumentace systému kvality musí umožňovat jednotný výklad programů, plánů, příruček a záznamů týkajících se kvality.

Dokumentace systému řízení kvality musí obsahovat zejména přiměřený popis:

a) cílů z hlediska kvality a organizační struktury, odpovědnosti a pravomocí vedení, pokud jde o návrh, vývoj, kvalitu produktu a řešení zranitelností,

b) technických specifikací návrhu a vývoje, včetně norem, které budou použity, a v případě, že se příslušné harmonizované normy nebo technické specifikace nepoužijí v celém rozsahu, popis prostředků, které budou použity, aby bylo zajištěno splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I části I, které se na produkty s digitálními prvky vztahují,

c) procesních specifikací návrhu, včetně norem, které budou použity, a v případě, že se příslušné harmonizované normy nebo technické specifikace nepoužijí v celém rozsahu, popis prostředků, které budou použity, aby bylo zajištěno splnění základních požadavků na kybernetickou bezpečnost stanovených v příloze I části II, které se na výrobce vztahují,

d) metod, postupů a systematických opatření týkajících se kontroly a ověřování návrhu, které budou použity při navrhování produktů s digitálními prvky náležejících do příslušné kategorie produktu,

e) odpovídajících metod, postupů a systematických opatření, které budou použity při výrobě, kontrole a zabezpečování kvality,

f) kontrol a zkoušek, které budou provedeny před výrobou, během výroby a po výrobě, s uvedením jejich četnosti,

g) záznamů o kvalitě, například protokolů o kontrolách, výsledků zkoušek, záznamů z provedených kalibrací a zpráv o kvalifikaci příslušných pracovníků,

h) prostředků umožňujících monitoring požadované kvality návrhu a produktu a efektivního fungováním systému kvality.

3.3. Oznámený subjekt posoudí systém kvality s cílem určit, zda splňuje požadavky podle bodu 3.2.

U prvků systému kvality, které odpovídají příslušným specifikacím vnitrostátní normy, kterou se provádí příslušná harmonizovaná norma nebo technická specifikace, předpokládá shodu s těmito požadavky.

Auditorský tým musí mít zkušenosti se systémy řízení kvality a znalosti použitelných požadavků stanovených v tomto nařízení a alespoň jeden jeho člen musí mít zkušenosti s hodnocením příslušné oblasti produktu a technologie daného produktu. Audit zahrnuje návštěvu v provozních prostorách výrobce za účelem jejich posouzení, pokud takové prostory existují. Auditorský tým přezkoumá technickou dokumentaci uvedenou v písm. b) bodu 3.1, aby ověřil, že je výrobce schopen určit příslušné požadavky stanovené v tomto nařízení a provádět nezbytná přezkoušení, aby zajistil soulad produktu s digitálními prvky s těmito požadavky.

Rozhodnutí se oznámí výrobci nebo jeho zplnomocněnému zástupci.

Oznámení musí obsahovat závěry auditu a odůvodněné rozhodnutí o posouzení.

3.4. Výrobce se zavazuje, že bude plnit povinnosti vyplývající ze schváleného systému kvality a že jej bude udržovat, aby byl i nadále odpovídající a účinný.

3.5. Výrobce informuje oznámený subjekt, který schválil systém kvality, o každé zamýšlené změně tohoto systému.

Oznámený subjekt navrhované změny posoudí a rozhodne, zda změněný systém kvality bude i nadále splňovat požadavky podle bodu 3.2, nebo zda je třeba provést nové posouzení.

Oznámený subjekt oznámí své rozhodnutí výrobci. Oznámení musí obsahovat závěry kontrol a odůvodněné rozhodnutí o posouzení.

4. Dohled, za který odpovídá oznámený subjekt

4.1. Účelem dozoru je zajistit, aby výrobce řádně plnil povinnosti vyplývající ze schváleného systému kvality.

4.2. Za účelem posouzení umožní výrobce oznámenému subjektu přístup do prostor určených pro navrhování, vývoj, výrobu, kontrolu, zkoušky a skladování a poskytne mu veškeré potřebné informace, zejména:

a) dokumentaci systému kvality,

b) záznamy o kvalitě uvedené v části systému kvality týkající se navrhování, např. výsledky analýz, výpočtů a zkoušek,

c) záznamy o kvalitě uvedené ve výrobní části systému kvality, např. protokoly o kontrolách, výsledky zkoušek, záznamy z provedených kalibrací a zprávy o kvalifikaci příslušných pracovníků.

4.3. Oznámený subjekt provádí pravidelné audity, aby se ujistil, že výrobce udržuje a používá systém kvality, a předkládá výrobci zprávu o auditu.

5. Označení shody a prohlášení o shodě

5.1. Výrobce umístí označení shody a na odpovědnost oznámeného subjektu uvedeného v bodě 3.1. identifikační číslo tohoto subjektu na každý jednotlivý produkt s digitálními prvky, který splňuje požadavky stanovené v příloze I části I.

5.2. Výrobce vypracuje pro daný model produktu písemné prohlášení o shodě a po dobu deseti let od uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší, je uchovává pro potřebu vnitrostátních orgánů. V prohlášení o shodě se uvede model produktu, pro nějž bylo vypracováno.

Kopie prohlášení o shodě se na žádost poskytne příslušným orgánům.

6. Výrobce uchovává pro potřebu vnitrostátních orgánů po dobu nejméně deseti let po uvedení produktu s digitálními prvky na trh nebo po dobu trvání doby podpory, podle toho, které z těchto časových období je delší:

a) technickou dokumentaci uvedenou v bodě 3.1,

b) dokumentaci týkající se systému kvality uvedenou v bodě 3.1,

c) informace o schválené změně podle bodu 3.5,

d) rozhodnutí a zprávy oznámeného subjektu podle bodů 3.5 a 4.3.

7. Každý oznámený subjekt informuje své oznamující orgány o schváleních systému kvality, která vydal nebo zrušil, a pravidelně či na žádost zpřístupní svým oznamujícím orgánům seznam schválení systému kvality, která zamítl, pozastavil či jinak omezil.

Každý oznámený subjekt informuje ostatní oznámené subjekty o schváleních systému kvality, která zamítl, pozastavil nebo zrušil, a na žádost o schváleních systému kvality, která vydal.

8. Zplnomocněný zástupce

Povinnosti výrobce stanovené v bodech 3.1, 3.5, 5 a 6 mohou být jeho jménem a na jeho odpovědnost plněny jeho zplnomocněným zástupcem, pokud jsou uvedeny v pověření.

K tomuto aktu bylo učiněno prohlášení, které lze nalézt v Úř. věst. C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.