第13条 - 製造者の義務

1.デジタル要素を含む製品を市場に出す場合、製造者は、その製品が附属書ⅠのパートⅠに定める必須要件に従って設計、開発、製造されていることを保証しなければならない。

2.第 1 項に定める義務を遵守するために、製造者は、デジタル要素を含む製品に関連するサイ バーセキュリティリスクのアセスメントを実施し、サイバーセキュリティリスクの最小化、セキュリ ティインシデントの防止、及び当該インシデントの影響の最小化（利用者の健康及び安全との 関係を含む）を目的として、デジタル要素を含む製品の計画、設計、開発、製造、引渡し及び保守の各段階において、 当該アセスメントの結果を考慮に入れなければならない。

3.サイバーセキュリティリスク評価は、本条第 8 項に従って決定されるサポート期間中、 文書化され、適宜更新されるものとする。サイバーセキュリティリスクアセスメントは、少なくとも、意図された目的及び合理的に予見可能な使用、並びに、運用環境又は保護されるべき資産のようなデジタル要素を有する製品の使用条件に基づくサイバーセキュリティリスクの分析から構成されるものとし、当該製品が使用されると予想される期間を考慮しなければならない。サイバーセキュリティリスクアセスメントは、附属書ⅠのパートⅠの(3)に規定されるセキュリティ要件がデジタル要素を有する当該製品に適用されるかどうか、また、適用される場合、どのような方法で適用されるか、また、サイバーセキュリティリスクアセスメントによって知らされたこれらの要件がどのように実施されるかを示すものとする。また、製造者が附属書Ⅰの第Ⅰ部(1)及び附属書Ⅰの第Ⅱ部に定める脆弱性処理要件をどのように適用するかを示さなければならない。

4.第8条及び第24条(4)で言及されるデジタル要素を有する製品で、他のEU法も適用されるものについては、サイバーセキュリティリスクアセスメントは、それぞれのEU法で要求されるリスクアセスメントの一部とすることができる。特定の必須要件がデジタル要素を含む上市製品に適用されない場合、製造者は、その文書に明確な根拠を含めなければならない。

5.第 1 項を遵守するため、製造者は、第三者から提供されたコンポーネントを統合する際に、当該コンポーネントがデジタル要素を含む製品のサイバーセキュリティを損なわないよう、十分な注意を払わなければならない（商業活動の過程で市場に提供されていないフリーソフトウェアやオープンソースソフトウェアのコンポーネントを統合する場合を含む）。 

6.製造者は、オープンソースコンポーネントを含む、デジタル要素と共に製品に組み込まれた コンポーネントの脆弱性を特定した場合、当該コンポーネントを製造又は保守する者又は主体に 脆弱性を報告し、附属書Ⅰの第Ⅱ部に定める脆弱性対応要件に従って脆弱性に対処し、 脆弱性を是正しなければならない。製造者が当該コンポーネントの脆弱性に対処するためにソフトウェアまたはハードウェアの修正を開発した場合、製造者は、適切な場合、機械可読形式で、当該コンポーネントを製造または保守する者または団体と関連するコードまたは文書を共有しなければならない。

7.製造者は、その性質とサイバーセキュリティリスクに見合った方法で、デジタル 要素を有する製品に関連するサイバーセキュリティの側面を体系的に文書化するものとす る。これには、製造者が認識した脆弱性及び第三者から提供された関連情報を含み、該当 する場合には、製品のサイバーセキュリティリスク評価を更新するものとする。

8.製造者は、デジタル要素を含む製品を市場に投入する際、及びサポート期間中、その構成要素を含む当該製品の脆弱性が、附属書Ⅰの第Ⅱ部に定める必須要件に従って効果的に処理されることを確保しなければならない。

製造者は、特に、合理的なユーザの期待、意図された目的を含む製品の性質、及びデジタル要素を有する製品の耐用年数を定める関連連合法を考慮して、製品が使用されると予想される期間を反映するようにサポート期間を決定しなければならない。サポート期間を決定する際、製造者は、他の製造者が市場に出している同様の機能を提供するデジタル要素を搭載した製品のサポート期間、動作環境の可用性、中核機能を提供し第三者から供給される統合コンポーネントのサポート期間、および第52条15項に従って設立された専門の行政協力グループ（ADCO）および欧州委員会が提供する関連ガイダンスも考慮することができる。サポート期間の長さを決定するために考慮される事項は、比例性を確保する方法で考慮されなければならない。

第2号を損なうことなく、サポート期間は少なくとも5年間とする。デジタル要素を含む製品の使用期間が5年未満であると予想される場合、サポート期間は予想される使用期間に対応するものとする。

第52条(16)に言及されているADCOの勧告を考慮し、欧州委員会は、第61条に従い、市場サーベイランスのデータが不十分なサポート期間を示唆している特定の製品カテゴリーについて最低サポート期間を規定することにより、本規則を補足する委任法を採択することができる。

製造業者は、以下の事項を決定するために考慮した情報を含めなければならない。
附属書 VII に定める技術文書に記載されたデジタル要素を含む製品のサポート期間。

製造事業者は、内部又は外部情報源から報告されたデジタル要素を含む製品の潜在的な脆弱性を処理し、是正するために、附属書Ⅰのセクション2の(5)で言及されている調整された脆弱性開示方針を含む適切な方針及び手順を持たなければならない。 

9.製造者は、附属書Ⅰの第Ⅱ部(8)で言及されている、サポート期間中にユーザーに提供された各セキュリティ更新が、発行後、デジタル要素を含む製品が市場に出てから最低10年間、又はサポート期間の残りの期間のいずれか長い方の期間、利用可能であることを保証しなければならない。

10.製造者があるソフトウェア製品の大幅な改変を施した後続バージョンを市場に出した場合、その製造者は、その製造者が最後に市場に出したバージョンについてのみ、附属書Ⅰ第Ⅱ部第(2)項に定める必須要件への適合を確保することができる。ただし、以前に市場に出したバージョンの利用者は、最後に市場に出したバージョンに無料でアクセスすることができ、その製品の元のバージョンを使用するハードウェア及びソフトウェア環境を調整するための追加費用を負担しないことを条件とする。

11.製造業者は、ユーザーが過去のバージョンにアクセスできるよう、公開ソフトウェア・アーカイブを維持することができる。このような場合、サポートされていないソフトウェアを使用することに伴うリスクについて、容易にアクセスできる方法でユーザーに明確に通知するものとする。

12.製造者は、デジタル要素を含む製品を市場に出す前に、第31条の技術文書を作成しなければならない。 

これらの機関は，第32条に規定する選択された適合性評価手続を実施し，又は実施させなければならない。

デジタル要素を有する製品が、付属書Iの第1部に定める必須要件に適合していること、および、製造者が実施するプロセスが、付属書Iの第2部に定める必須要件に適合していることが、適合性評価手続きによって証明された場合、製造者は、第28条に従ってEU適合宣言書を作成し、第30条に従ってCEマーキングを貼付しなければならない。

13.製造者は、技術文書およびEU適合宣言書を、デジタル要素を含む製品が上市されてから少なくとも10年間、またはサポート期間のいずれか長い方の期間、市場監視当局が自由に処分できるよう保管しなければならない。

14.製造者は、一連の製造の一部であるデジタル要素を有する製品について、本規則への適合性を維持するための手順を確保しなければならない。製造者は、デジタル要素を有する製品の適合性が宣言され、又はその適合性が検証される際に参照される、開発及び製造プロセス、又はデジタル要素を有する製品の設計若しくは特性における変更、並びに整合規格、欧州サイバーセキュリティ認証スキーム又は第27条で言及される共通仕様における変更を適切に考慮しなければならない。

15.製造事業者は，そのデジタル要素付き製品に型式，バッチ番号若しくは製造番号又はその識別を 可能にするその他の要素を付すことを確実にするか，又はそれが不可能な場合には，その情報が包装上 又はデジタル要素付き製品に添付する文書に記載されることを確実にしなければならない。

16.製造事業者は，製造事業者の名称，登録商号又は登録商標，並びに郵便番号，電子メールアドレス又はその他のデジタル連絡先の詳細，並びに該当する場合，製造事業者に連絡することができるウェブサイトを，デジタル要素付き製品，その包装上又はデジタル要素付き製品に添付する文書に表示しなければならない。その情報は、附属書IIで言及される使用者に対する情報及び指示にも記載しなければならない。連絡先の詳細は，使用者及び市場監視当局が容易に理解できる言語で記載しなければならない。

17.本規則の目的のため、製造者は、デジタル要素を有する製品の脆弱性に関する報告を容易にするためも含め、利用者が直接かつ迅速に連絡を取ることができるよう、単一の連絡窓口を指定しなければならない。

製造事業者は，単一の連絡窓口を使用者が容易に識別できるようにしなければならない。また，附属書Ⅱに定める使用者に対する情報及び指示にも，単一の連絡先を記載しなければならない。

単一窓口は、利用者が希望するコミュニケーション手段を選択できるようにし、その手段を自動化されたツールに限定してはならない。

18.製造事業者は，デジタル要素を含む製品に，附属書Ⅱに定める使用者に対する情報及び指示を紙又は電子形式で添付することを確実にしなければならない。当該情報及び指示は，使用者及び市場監視当局が容易に理解できる言語で提供されなければならない。それらは，明確で，理解可能で，明瞭で，判読可能でなければならない。それらは、デジタル要素を含む製品の安全な設置、操作及び使用を可能にするものでなければならない。製造事業者は，附属書Ⅱに定める使用者に対する情報及び指示を，使用者及び市場監視当局が自由に利用できるよう，デジタル要素付き製品の上市後少なくとも10年間又はサポート期間のいずれか長い方の期間，保管しなければならない。このような情報及び指示がオンラインで提供される場合、製造者は、デジタル要素を含む製品が上市されてから少なくとも10年間又はサポート期間のいずれか長い方の期間、アクセス可能で、使い勝手がよく、オンラインで利用可能であることを確保しなければならない。 

19.製造事業者は，第8項に規定されるサポート期間の終了日が，少なくとも月及び年を含め， 購入時に，該当する場合，デジタル要素を有する製品，その包装又はデジタル手段によって， 容易にアクセス可能な方法で明確かつ理解できるように明記されることを確保しなければならない。 

デジタル要素を含む製品の性質に照らして技術的に可能な場合、製造者は、デジタル要素を含む製品のサポート期間が終了したことを知らせる通知をユーザーに表示しなければならない。

20.製造者は、EU適合宣言書の写し、またはデジタル要素を含む簡易EU適合宣言書のいずれかを製品に添付しなければならない。簡易EU適合宣言書を提供する場合、完全なEU適合宣言書にアクセスできる正確なインターネットアドレスを記載しなければならない。 

21.デジタル要素を含む製品又は製造者が実施するプロセスが附属書Ⅰに定める必須要件に適合していないことを知り、又はそう信じる理由がある製造者は、上市後及びサポート期間中▌、適宜、デジタル要素を含む製品又は製造者のプロセスを適合させるために必要な是正措置を直ちに講じ、製品を撤回又は回収しなければならない。

22.製造者は、市場監視当局から理由ある要請を受けた場合、当該当局が容易に理解できる言語で、デジタル要素付き製品及び製造者が実施したプロセスが附属書Ⅰに定める必須要件に適合していることを証明するために必要なすべての情報及び文書を、紙又は電子形式で当該当局に提供しなければならない。

23.業務を停止し、その結果、本規則に定める義務を遵守することができなくなった製造者は、業務停止が発効する前に、その状況を関連市場監視当局に通知するとともに、利用可能なあらゆる手段により、かつ、可能な限り、市場に出回るデジタル要素を有する関連製品の使用者にも、業務停止が間近に迫っていることを通知しなければならない。

24.欧州委員会は、欧州規格または国際規格およびベストプラクティスを考慮し、附属書I第II部第(1)項に定めるソフトウェア部品表の書式および要素を、実施法によって規定することができる。これらの実施法は、第62条(2)に言及された審査手続きに従って採択されるものとする。

25.ソフトウェア・コンポーネント、特にフリー・ソフトウェアおよびオープンソース・ソフトウェアとして適格なコンポーネントに対する加盟国および連邦全体の依存度を評価するため、ADCO は、デジタル要素を有する特定のカテゴリの製品について、連邦全体の依存度評価を実施することを決定することができる。そのために、市場監視当局は、以下のようなカテゴリーの製品の製造業者に対して、依存性評価を実施するよう要請することができます。
附属書 I、第 II 部、(1)で言及されている、関連するソフトウェア部品表を提供するためのデジタル要素。当該情報に基づき、市場監視当局は、ソフトウェアの依存性に関する匿名化され集計された情報を ADCO に提供することができる。ADCO は、指令（EU）2022/2555 の第 14 条に基づき設立された協力グループに、依存性評価の結果に関する報告書を提出するものとする。