Art. 56 Förfarande på unionsnivå för produkter med digitala element som utgör en betydande cybersäkerhetsrisk | CRA regulation | CRA

This article establishes the Commission's own powers of intervention when a product with digital elements presents a significant cybersecurity risk and national-level action has proven insufficient.

It sits alongside Articles 54 and 55, which govern market surveillance authority evaluations and national procedures, but goes further by giving the Commission a direct escalation path.

Where the Commission has sufficient reason to believe a product is non-compliant or poses risks — including non-technical risk factors — it can alert market surveillance authorities, engage ENISA for analysis, consult Member States and economic operators, and ultimately adopt implementing acts imposing corrective or restrictive measures at Union level, up to and including market withdrawal or recall.

This intervention power is explicitly time-limited, applying only for the duration of the exceptional situation that triggered it.

Important points:

The Commission is empowered to act at Union level — including ordering market withdrawal or recall — where national market surveillance authorities have not taken effective measures against a non-compliant product presenting a significant cybersecurity risk.
Non-technical risk factors can also trigger the Commission's intervention, in which case it must additionally inform relevant competent authorities under Directive (EU) 2022/2555 and consider the implications for Union-level critical supply chain risk assessments.
Economic operators are required to cooperate with ENISA when the Commission carries out its compliance evaluation, and Member States must implement any resulting implementing acts without delay.

1. Om kommissionen har tillräckliga skäl, inbegripet baserat på information från Enisa, att anse att en produkt med digitala element som utgör en betydande cybersäkerhetsrisk inte uppfyller kraven enligt denna förordning ska den informera de berörda marknadskontrollmyndigheterna. Om marknadskontrollmyndigheterna gör en utvärdering av produkten med digitala element som kan utgöra en betydande cybersäkerhetsrisk med avseende på dess överensstämmelse med kraven i denna förordning ska de förfaranden som avses i artiklarna 54 och 55 tillämpas.
1. Om kommissionen har tillräckliga skäl att anse att en produkt med digitala element utgör en betydande cybersäkerhetsrisk mot bakgrund av icke-tekniska riskfaktorer ska den informera de berörda marknadskontrollmyndigheterna och, om så är lämpligt, de behöriga myndigheter som utsetts eller inrättats enligt artikel 8 i direktiv (EU) 2022/2555 och när så krävs samarbeta med dessa myndigheter. Kommissionen ska också beakta relevansen hos de identifierade riskerna för produkten med digitala element med tanke på sina uppgifter avseende de samordnade säkerhetsriskbedömningar av kritiska leveranskedjor på unionsnivå som föreskrivs i artikel 22 i direktiv (EU) 2022/2555, och vid behov samråda med den samarbetsgrupp som inrättats enligt artikel 14 i direktiv (EU) 2022/2555 och Enisa.
1. Vid omständigheter som motiverar ett omedelbart ingripande för att bevara en välfungerande inre marknad, och där kommissionen har tillräckliga skäl att anse att den produkt med digitala element som avses i punkt 1 fortfarande inte uppfyller kraven enligt denna förordning och inga effektiva åtgärder har vidtagits av de berörda marknadskontrollmyndigheterna, ska kommissionen göra en utvärdering av överensstämmelsen och får begära att Enisa tillhandahåller en analys för att stödja den. Kommissionen ska underrätta de berörda marknadskontrollmyndigheterna om detta. De berörda ekonomiska aktörerna ska när så krävs samarbeta med Enisa.
1. Baserat på den utvärdering som avses i punkt 3 får kommissionen besluta att en korrigerande eller begränsande åtgärd krävs på unionsnivå. Därför ska kommissionen utan dröjsmål samråda med de berörda medlemsstaterna och berörda ekonomiska aktörer (en eller flera).
1. Baserat på det samråd som avses i punkt 4 i denna artikel får kommissionen anta genomförandeakter för att föreskriva korrigerande eller begränsande åtgärder på unionsnivå, inbegripet krav på att de berörda produkterna med digitala element ska dras tillbaka från marknaden eller återkallas, inom en rimlig tid i förhållande till typen av risk. Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 62.2.
1. Kommissionen ska omedelbart delge berörda ekonomiska aktörer de genomförandeakter som avses i punkt 5. Medlemsstaterna ska genomföra dessa genomförandeakter utan dröjsmål och underrätta kommissionen om detta.
1. Punkterna 3–6 ska vara tillämpliga under den tid som den exceptionella situation som motiverade kommissionens ingripande varar, under förutsättning att den berörda produkten med digitala element inte bringas till överensstämmelse med denna förordning.

Artikel 56 Förfarande på unionsnivå för produkter med digitala element som utgör en betydande cybersäkerhetsrisk

Relevant recitals