Rozporządzenie delegowane 2021/1244 zmieniające załącznik X do rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/858 w odniesieniu do znormalizowanego dostępu do informacji z pokładowego układu diagnostycznego oraz informacji dotyczących naprawy i konserwacji pojazdów, a także wymogów i procedur w zakresie dostępu do informacji dotyczących zabezpieczeń pojazdu

Dzienniki UE

Dz.U.UE.L.2021.272.16

Akt jednorazowy

Wersja od: 30 lipca 2021 r.

ROZPORZĄDZENIE DELEGOWANE KOMISJI (UE) 2021/1244

z dnia 20 maja 2021 r.

zmieniające załącznik X do rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/858 w odniesieniu do znormalizowanego dostępu do informacji z pokładowego układu diagnostycznego oraz informacji dotyczących naprawy i konserwacji pojazdów, a także wymogów i procedur w zakresie dostępu do informacji dotyczących zabezpieczeń pojazdu

KOMISJA EUROPEJSKA,

uwzględniając Traktat o funkcjonowaniu Unii Europejskiej,

uwzględniając rozporządzenie Parlamentu Europejskiego i Rady (UE) 2018/858 z dnia 30 maja 2018 r. w sprawie homologacji i nadzoru rynku pojazdów silnikowych i ich przyczep oraz układów, komponentów i oddzielnych zespołów technicznych przeznaczonych do tych pojazdów, zmieniające rozporządzenie (WE) nr 715/2007 i (WE) nr 595/2009 oraz uchylające dyrektywę 2007/46/WE ¹ , w szczególności jego art. 61 ust. 11,

a także mając na uwadze, co następuje:

(1) W art. 61 ust. 2 rozporządzenia 2018/858 nałożono na producentów pojazdów obowiązek udostępniania na swoich stronach internetowych informacji z pokładowego układu diagnostycznego (OBD) pojazdu oraz informacji dotyczących naprawy i konserwacji pojazdów (RMI). Brakuje jednak zharmonizowanych kryteriów dotyczących sposobu udostępniania tych informacji, co wymaga od niezależnych podmiotów dostosowania się do licznych i zróżnicowanych usług internetowych i terminologii.

(2) W sprawozdaniu Komisji dla Parlamentu Europejskiego i Rady z dnia 9 grudnia 2016 r. ²  w sprawie funkcjonowania systemu dostępu do informacji dotyczących naprawy i utrzymania pojazdów stwierdzono, że dzięki standaryzacji tych stron internetowych i odpowiedniej terminologii obciążenie niezależnych podmiotów mogłoby zostać zmniejszone.

(3) Ponieważ dostęp do informacji z OBD pojazdu oraz RMI pojazdu powinien być możliwy niezależnie od typu mechanizmu napędowego danego pojazdu, konieczne jest wyjaśnienie, że taki dostęp jest obowiązkowy nie tylko w przypadku wymogów dotyczących emisji zanieczyszczeń.

(4) W dniu 15 września 2014 r. Europejski Komitet Normalizacyjny (CEN) opublikował części 1-5 normy EN ISO 18541 "Pojazdy drogowe - Zharmonizowany dostęp do informacji dotyczących naprawy i utrzymania pojazdów (RMI)". Części te mają na celu ułatwienie wymiany między producentami i niezależnymi podmiotami informacji z OBD pojazdu i RMI pojazdu poprzez ustanowienie wymogów technicznych i procedur ułatwiających dostęp do tych informacji. Należy zatem w załączniku X do rozporządzenia (UE) 2018/858 zawrzeć odniesienie do wymogów części 1-5 normy EN ISO 18541-2014.

(5) Biorąc pod uwagę, że informacje z OBD pojazdu i RMI pojazdu obejmują informacje niezbędne do zapewnienia bezpieczeństwa pojazdu, dostęp do niektórych zabezpieczeń pojazdu należy zapewnić wyłącznie niezależnym podmiotom spełniającym wymogi określone w niniejszym załączniku.

(6) Zgodnie z zaleceniami Forum ds. dostępu do informacji o pojazdach, o którym mowa w art. 66 ust. 1 rozporządzenia (UE) 2018/858, wymogi te powinny obejmować zatwierdzanie zainteresowanych niezależnych podmiotów oraz udzielanie autoryzacji ich pracownikom wykonującym stosowne czynności przez akredytowane podmioty. Konieczne jest zatem ustanowienie procedury zatwierdzania i autoryzacji niezależnych podmiotów w zakresie dostępu do zabezpieczeń pojazdów, która powinna się opierać na "Systemie akredytacji, zatwierdzania i autoryzacji w zakresie dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji (RMI)", który został zatwierdzony w dniu 19 maja 2016 r. przez organizację Europejska Współpraca w Dziedzinie Akredytacji. Należy również ocenić, czy podmioty te nie są zaangażowane w nielegalną działalność gospodarczą.

(7) Ponadto konieczne jest określenie roli i zakresów odpowiedzialności organów zaangażowanych w zatwierdzanie i autoryzację niezależnych podmiotów i ich pracowników w zakresie uzyskania dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji pojazdów.

(8) Aby umożliwić państwom członkowskim, organom krajowym i podmiotom gospodarczym przygotowanie się do stosowania nowych przepisów wprowadzonych niniejszym rozporządzeniem, należy odroczyć datę rozpoczęcia jego stosowania.

(9) Należy zatem odpowiednio zmienić załącznik X do rozporządzenia (UE) 2018/858,

PRZYJMUJE NINIEJSZE ROZPORZĄDZENIE:

Artykuł  1

W załączniku X do rozporządzenia (UE) 2018/858 wprowadza się zmiany zgodnie z załącznikiem do niniejszego rozporządzenia.

Artykuł  2

Niniejsze rozporządzenie wchodzi w życie dwudziestego dnia po jego opublikowaniu w Dzienniku Urzędowym Unii Europejskiej.

Niniejsze rozporządzenie stosuje się od dnia 30 lipca 2023 r.

Niniejsze rozporządzenie wiąże w całości i jest bezpośrednio stosowane we wszystkich państwach członkowskich.

Sporządzono w Brukseli dnia 20 maja 2021 r.

	W imieniu Komisji
	Ursula VON DER LEYEN
	Przewodnicząca

ZAŁĄCZNIK

W załączniku X do rozporządzenia (UE) 2018/858 wprowadza się następujące zmiany:

1) pkt 2.1 otrzymuje brzmienie:

"2.1. Producent wprowadza konieczne rozwiązania i procedury, zgodnie z art. 61 ust. 2 akapit drugi zdanie pierwsze, aby zapewnić dostęp za pośrednictwem stron internetowych do informacji z OBD pojazdu oraz do informacji dotyczących naprawy i konserwacji pojazdu. Zgodność z częściami serii normy EN ISO 18541 "Pojazdy drogowe - Znormalizowany dostęp do informacji dotyczących naprawy i konserwacji pojazdów (RMI)": EN ISO 18541-2014 (Część 1: Informacje ogólne i definicje przypadków użycia; Część 2: Wymagania techniczne; Część 3: Wymagania funkcjonalnych interfejsów użytkownika), EN ISO 18541-2015 (Część 4: Badanie zgodności) oraz EN ISO 18541-2018 (Część 5: Przepisy szczegółowe dotyczące pojazdów ciężarowych) stanowi podstawę domniemania spełnienia obowiązków producentów polegających na zapewnieniu informacji z OBD oraz informacji dotyczących naprawy i konserwacji pojazdów na ich stronach internetowych z wykorzystaniem znormalizowanego formatu. Dostępu do informacji z OBD pojazdu oraz informacji dotyczących naprawy i konserwacji pojazdu udziela się w łatwo dostępny i szybki sposób.";

2) pkt 2.5.2 otrzymuje brzmienie:

"2.5.2. podręczniki serwisowe, w tym dokumentację czynności związanych z obsługą techniczną i konserwacją, oraz odniesienia do specyfikacji technicznych w zakresie płynów, w tym smarów, płynów hamulcowych i płynów chłodzących;";

3) pkt 2.9 akapit pierwszy otrzymuje brzmienie:

"Do celów OBD, diagnostyki, naprawy i konserwacji, monitorowania i kontroli pojazdu bezpośredni strumień danych o pojeździe, w tym kody błędów, oraz funkcje diagnostyczne udostępnia się przez port szeregowy znormalizowanego łącza danych określony w pkt 6.5.1.4 oraz zgodnie ze specyfikacjami określonymi w pkt 6.5.3 dodatku 1 do załącznika 11 do regulaminu nr 83 Europejskiej Komisji Gospodarczej Organizacji Narodów Zjednoczonych (EKG ONZ) ³ oraz zgodnie z pkt 4.7.3 załącznika 9B i wzorcowymi dokumentami standardowymi określonymi w dodatku 6 do załącznika do regulaminu nr 49 Europejskiej Komisji Gospodarczej Organizacji Narodów Zjednoczonych (EKG ONZ) ⁴ .

4) pkt 6.1 akapit pierwszy otrzymuje brzmienie:

"Zgodność z częściami normy EN ISO 18541, o których mowa w pkt 2.1, stanowi podstawę domniemania spełnienia obowiązków producentów polegających na zapewnieniu informacji z OBD oraz informacji dotyczących naprawy i konserwacji pojazdów na ich stronach internetowych z wykorzystaniem znormalizowanego formatu.";

5) pkt 6.2 otrzymuje brzmienie:

"Dostęp do zabezpieczeń pojazdu jest udostępniany niezależnym podmiotom z zastrzeżeniem ochrony technologii zabezpieczeń zgodnie z następującymi wymogami:";

6) w pkt 6.3 wprowadza się następujące zmiany:

a) zdanie pierwsze otrzymuje brzmienie:

"Procedura zatwierdzania i autoryzacji niezależnych podmiotów w zakresie dostępu do zabezpieczeń pojazdu, o którym mowa w pkt 6.2, jest określona w dodatku 3. Rola i zakresy odpowiedzialności organów zaangażowanych w akredytację, zatwierdzanie i autoryzację niezależnych podmiotów są wyszczególnione poprzez wymogi funkcjonalne obejmujące przykłady i przypadki użycia określone w zawiadomieniu Komisji.";

b) dodaje się akapit w brzmieniu:

"Do celów tej procedury nie uznaje się, że podmioty prowadzą legalną działalność gospodarczą, jeżeli reklamują lub oferują naprawy lub konserwacje, które mogłyby mieć negatywny wpływ na emisje zanieczyszczeń pojazdu. Obejmuje to:

a) dezaktywację lub usunięcie urządzeń kontrolujących emisję spalin lub układów sterowania emisją, bądź pogorszenie ich działania lub ukrywanie ich nieprawidłowego działania;

b) instalowanie urządzeń ograniczających skuteczność działania ⁵ lub strategii nieracjonalnych ⁶ ;

c) dezaktywację, usunięcie lub ingerencję w urządzenia służące do monitorowania zużycia paliwa lub energii elektrycznej bądź ingerencję we wskazania drogomierzy;

d) ingerencję w jednostkę sterującą silnika, z uwzględnieniem mocy znamionowej silnika.

7) dodaje się dodatek 3 w brzmieniu:

"Dodatek 3

Procedura zatwierdzania i autoryzacji niezależnych podmiotów w zakresie dostępu do zabezpieczeń pojazdu ⁷

1. Zakres

Niniejszy dodatek zawiera wymogi do celów zatwierdzania i autoryzacji niezależnych podmiotów wymagających dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji pojazdów (RMI).

Określono w nim szczegółowo procedurę i organy wymagane do zatwierdzania i autoryzacji niezależnych podmiotów do uzyskania dostępu do związanych z zabezpieczeniami informacji dotyczących napraw i konserwacji lekkich pojazdów pasażerskich i użytkowych oraz pojazdów ciężarowych.

2. Definicje i skróty

2.1. Definicje

Do celów niniejszego dodatku stosuje się następujące definicje:

2.1.1. "akredytacja"

"akredytacja" oznacza akredytację zgodnie z definicją w art. 2 pkt 10 rozporządzenia (WE) nr 765/2008;

2.1.2. "pracownik niezależnego podmiotu"

"pracownik niezależnego podmiotu" oznacza pracownika zatwierdzonego niezależnego podmiotu, który na podstawie autoryzacji od swojej jednostki oceniającej zgodność będzie miał dostęp do RMI związanych z zabezpieczeniami;

2.1.3. "związane z zabezpieczeniami informacje dotyczące naprawy i konserwacji" lub "RMI związane z zabezpieczeniami"

"związane z zabezpieczeniami informacje dotyczące naprawy i konserwacji" lub "RMI związane z zabezpiecze- niami" oznaczają informacje, oprogramowanie, funkcje i usługi wymagane do celów naprawy i utrzymania zabezpieczeń, które zostały zainstalowane w pojeździe przez producenta, aby zapobiec kradzieży pojazdu lub odjechaniu pojazdem oraz umożliwić śledzenie i odzyskiwanie pojazdu;

2.1.4. "świadectwo kontroli zatwierdzenia"

"świadectwo kontroli zatwierdzenia" oznacza świadectwo wydawane przez jednostkę oceniającą zgodność niezależnym podmiotom spełniającym kryteria zatwierdzenia określone w niniejszym dodatku, które potwierdza, że te niezależne podmioty zostały zatwierdzone oraz że pracownicy niezależnego podmiotu mogą się ubiegać o autoryzację w zakresie dostępu do RMI związanych z zabezpieczeniami;

2.1.5. "świadectwo kontroli autoryzacji"

"świadectwo kontroli autoryzacji" oznacza świadectwo wydane przez jednostkę oceniającą zgodność pracownikom niezależnego podmiotu spełniającym kryteria autoryzacji określone w niniejszym dodatku, które potwierdza, że pracownicy ci są autoryzowani w zakresie dostępu do RMI związanych z zabezpieczeniami na stronie internetowej producenta pojazdów;

2.1.6. "centrum zaufania" lub "TC"

"centrum zaufania" lub "TC" oznacza organ wyznaczony przez SERMI i zatwierdzony przez Komisję, odpowiedzialny za:

a) zarządzanie certyfikatami cyfrowymi i statusem autoryzacji pracowników niezależnego podmiotu oraz dostarczanie jednostce oceniającej zgodność niezbędnych tokenów bezpieczeństwa i certyfikatów elektronicznych dla autoryzowanych pracowników niezależnego podmiotu;

b) dostarczanie producentowi pojazdów informacji na temat statusu autoryzacji pracownika niezależnego podmiotu.

2.1.7. "token bezpieczeństwa"

"token bezpieczeństwa" oznacza urządzenie, które umożliwia bezpieczne uwierzytelnienie niezależnego podmiotu;

2.1.8. "certyfikat cyfrowy"

"certyfikat cyfrowy" oznacza certyfikat elektroniczny, który wymaga podpisu cyfrowego centrum zaufania wydającego certyfikat w celu powiązania klucza publicznego z tożsamością pracownika niezależnego podmiotu, zgodnie z normą ISO 9594;

2.1.9. "baza danych autoryzacji"

"baza danych autoryzacji" oznacza bazę danych prowadzoną przez centrum zaufania, która zawiera szczegółowe informacje dotyczące autoryzacji zanonimizowanych autoryzowanych pracowników niezależnego podmiotu oraz rejestracji zatwierdzonych niezależnych podmiotów;

2.1.10. "baza danych certyfikacji"

"baza danych certyfikacji" oznacza bazę danych prowadzoną przez centrum zaufania w celu zarządzania ważnością certyfikatów cyfrowych i identyfikatorami autoryzowanych pracowników niezależnych podmiotów;

2.1.11. "Europejska Współpraca w Dziedzinie Akredytacji" lub "EA"

"Europejska Współpraca w Dziedzinie Akredytacji" lub "EA" oznacza jednostkę uznaną przez Komisję zgodnie z art. 14 rozporządzenia (WE) nr 765/2008, która jest odpowiedzialna za opracowanie, utrzymanie i wdrożenie akredytacji w Unii;

2.1.12. "Forum na rzecz dostępu do RMI pojazdu związanych z zabezpieczeniami" lub "SERMI"

"Forum na rzecz dostępu do RMI pojazdu związanych z zabezpieczeniami" lub "SERMI" oznacza podmiot odpowiedzialny za koordynację i doradzanie Komisji w zakresie wdrażania procedur "akredytacji, zatwierdzania i autoryzacji do celów dostępu" do RMI związanych z zabezpieczeniami;

2.1.13. "odpowiednie organy"

"odpowiednie organy" oznaczają te organy publiczne, które posiadają uprawnienia do działania w dziedzinie ochrony przed przestępstwami przeciwko bezpieczeństwu pojazdów, prowadzenia dochodzeń związanych z takimi przestępstwami i ścigania takich przestępstw.

3. Akredytacja jednostek oceniających zgodność, zatwierdzanie niezależnych podmiotów oraz autoryzację pracowników niezależnych podmiotów

Wyłącznie jednostki oceniające zgodność akredytowane przez zdefiniowaną w art. 2 pkt 11 rozporządzenia (WE) nr 765/2008 krajową jednostkę akredytującą państwa członkowskiego, w którym mają siedzibę, wydają świadectwa kontroli zatwierdzenia poświadczające, że niezależny podmiot został zatwierdzony, oraz świadectwa kontroli autoryzacji poświadczające, że pracownik niezależnego podmiotu ma mieć dostęp do RMI związanych z zabezpieczeniami.

Zatwierdzenia niezależnego podmiotu i autoryzacji pracownika niezależnego podmiotu udziela się na okres 60 miesięcy, począwszy od daty wydania odpowiednich świadectw kontroli.

Niezależne podmioty, które chcą otrzymać RMI związane z zabezpieczeniami, muszą uzyskać świadectwo kontroli zatwierdzenia od jednostki oceniającej zgodność akredytowanej przez krajową jednostkę akredytującą państwa członkowskiego, w którym niezależny podmiot ma siedzibę.

Pracownicy niezależnego podmiotu, którzy mają się posługiwać RMI związanymi z zabezpieczeniami, muszą uzyskać świadectwo kontroli autoryzacji od jednostki oceniającej zgodność akredytowanej przez krajową jednostkę akredytującą państwa członkowskiego, w którym zamieszkuje pracownik niezależnego podmiotu.

Jednostki oceniające zgodność powiadamiają TC o wszelkich wydanych świadectwach kontroli zatwierdzenia lub świadectwach kontroli autoryzacji, na podstawie których TC tworzą rejestr autoryzacji i wydają token bezpieczeństwa oraz certyfikat cyfrowy zawierający szczegółowe dane umożliwiające niepowtarzalną identyfikację pracowników niezależnego podmiotu na stronie internetowej producenta pojazdów dotyczącej RMI. Jednostki oceniające zgodność wyposażają indywidualnych pracowników niezależnego podmiotu w token bezpieczeństwa i certyfikat cyfrowy.

Producenci pojazdów mogą żądać opłaty za rejestrację pracowników niezależnego podmiotu na stronach internetowych producentów pojazdów dotyczących RMI producentów pojazdów oraz za dostęp do RMI związanych z zabezpieczeniami. Przedmiotowa opłata musi być proporcjonalna do kosztów takiej rejestracji i zapewnienia dostępu. Należne opłaty określa się na stronach internetowych producentów pojazdów dotyczących RMI. Wszystkie transfery danych cyfrowych między niezależnymi podmiotami, TC i jednostkami oceniającymi zgodność muszą być realizowane w drodze transakcji między przedsiębiorstwami (B2B) z wykorzystaniem bezpiecznych protokołów i w sposób terminowy.

Rysunek 1

Organy zaangażowane w akredytację jednostek oceniających zgodność, zatwierdzanie niezależnych podmiotów i autoryzację pracowników niezależnych podmiotów oraz relacje z nimi

grafika

Oświadczenie zaświadczające, że niezależny podmiot prowadzi legalną działalność gospodarczą, o której mowa w pkt 6.3 niniejszego załącznika, jest podpisywane przez niezależny podmiot wnioskujący o udzielenie autoryzacji przez jednostkę oceniającą zgodność. Niezależny podmiot zatwierdza się dopiero po przeprowadzeniu przez jednostkę oceniającą zgodność kontroli, w ramach której sprawdza się, czy deklaracja ta została podpisana i czy niezależny podmiot i jego poszczególni pracownicy spełniają wymogi określone w niniejszym dodatku.

Poszczególnym pracownikom niezależnego podmiotu udziela się autoryzacji dopiero po kontroli ze strony jednostki oceniającej zgodność. Jednostki oceniające zgodność sprawdzają przedłożone dokumenty i weryfikują, czy dany pracownik niezależnego podmiotu złożył uprzednio wniosek o autoryzację, który został odrzucony przez zainteresowaną jednostkę oceniającą zgodność lub jakąkolwiek inną jednostkę oceniającą zgodność na szczeblu Unii.

Jednostki oceniające zgodność przesyłają do TC wszystkie dane niezbędne do przygotowania certyfikatu cyfrowego i tokena bezpieczeństwa, które jednostka oceniająca zgodność przesyła pracownikom niezależnego podmiotu.

Pracownicy niezależnego podmiotu, którzy uzyskali autoryzację, otrzymują od jednostek oceniających zgodność PIN powiązany z certyfikatem cyfrowym.

Rysunek 2

Procedura zatwierdzania niezależnego podmiotu i autoryzacji pracowników niezależnego podmiotu

grafika

3.1. Dostęp do RMI związanych z zabezpieczeniami w zarysie

Producenci pojazdów zapewniają dostęp do RMI związanych z zabezpieczeniami za pośrednictwem swojej strony internetowej dotyczącej RMI, pod warunkiem że pracownicy niezależnego podmiotu są autoryzowani i mogą przedstawić świadectwo kontroli autoryzacji oraz że niezależny podmiot, w imieniu którego wykonują pracę pracownicy niezależnego podmiotu, posiada świadectwo kontroli zatwierdzenia.

Producenci mogą oferować autoryzowanym pracownikom niezależnego podmiotu pracującym dla zatwierdzonych niezależnych podmiotów dostęp do internetowego narzędzia do składania zamówień na części związane z zabezpieczeniami za pomocą specjalnej aplikacji powiązanej ze stroną internetową dotyczącą RMI.

Po otrzymaniu wniosku o dostęp do strony internetowej dotyczącej RMI strony internetowe producentów pojazdów żądają identyfikacji za pomocą niepowtarzalnego identyfikatora pracownika niezależnego podmiotu oraz żądają uwierzytelnienia. Uwierzytelnianie pracowników niezależnego podmiotu odbywa się wyłącznie przy użyciu certyfikatów cyfrowych. Po otrzymaniu certyfikatu elektronicznego strony internetowe producenta pojazdów dotyczące RMI weryfikują niepowtarzalny identyfikator pracownika niezależnego podmiotu oraz aktualny status certyfikatu cyfrowego i autoryzacji, komunikując się z TC określonym w certyfikacie elektronicznym.

Wszystkie transfery danych cyfrowych między niezależnymi podmiotami, producentami pojazdów, TC i jednostkami oceniającymi zgodność muszą być realizowane w drodze transakcji między przedsiębiorstwami (B2B) z wykorzystaniem bezpiecznych protokołów i w sposób terminowy. Po zweryfikowaniu niepowtarzalnego identyfikatora pracownika niezależnego podmiotu i statusu autoryzacji pracownika niezależnego podmiotu producent pojazdów zapewnia na swojej stronie internetowej dostęp do wymaganych RMI związanych z zabezpieczeniami.

Rysunek 3

Dostęp do RMI związanych z bezpieczeństwem

grafika

4. Szczegółowe zasady dotyczące dostępu do RMI związanych z zabezpieczeniami

4.1. Rola SERMI

4.1.1. Zakresy odpowiedzialności i obowiązki

SERMI monitoruje wdrażanie procesu akredytacji w państwach członkowskich i odpowiednio powiadamia o tym Komisję. SERMI doradza Komisji w sprawie wniosków o wprowadzenie zmian w procesie akredytacji.

a) SERMI doradza Komisji w sprawie wniosków o wprowadzenie zmian w procesie akredytacji. SERMI monitoruje wdrażanie procesu akredytacji w państwach członkowskich i odpowiednio powiadamia o tym Komisję;

b) SERMI konsultuje się z Komisją w sprawie ustanowienia kryteriów wyboru TC;

c) SERMI doradza Komisji w sprawie wprowadzenia technicznych wytycznych wdrożeniowych dotyczących interakcji między podmiotami zaangażowanymi w proces;

d) SERMI postępuje zgodnie z zasadami EA dotyczącymi własności systemu;

e) członkowie SERMI są reprezentowani przez zainteresowane strony zaangażowane w proces akredytacji, zatwierdzania i autoryzacji do celów dostępu do RMI związanych z zabezpieczeniami.

4.1.2. Wybór centrum zaufania

SERMI wybiera TC i zgłasza Komisji do zatwierdzenia.

Wybrane TC musi być przestrzegać normy ETSI TS 319 411-3, spełniać wymogi dotyczące podpisów elektronicznych określone w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 910/2014 ⁸ oraz wymogi określone w pkt 4.6 niniejszego dodatku.

Ponadto TC musi:

- posiadać kompetencje techniczne i kierownicze oraz stabilność finansową i doświadczenie istotne dla procesu akredytacji,

- posiadać kluczowy personel wykazujący umiejętności, doświadczenie i dyspozycyjność niezbędne do procesu akredytacji,

- być w stanie działać we wszystkich państwach członkowskich,

- wprowadzić proces zapewnienia jakości na poziomie operacyjnym.

4.2. Rola krajowych jednostek akredytujących

Krajowa jednostka akredytująca jest odpowiedzialna za akredytację jednostek oceniających zgodność do celów zatwierdzania niezależnych podmiotów i autoryzacji pracowników niezależnego podmiotu w zakresie dostępu do RMI związanych z zabezpieczeniami.

4.2.1. Zakresy odpowiedzialności i wymogi

Zakresy odpowiedzialności i wymogi odnoszące się do krajowych jednostek akredytujących określono w art. 8-12 rozporządzenia (WE) nr 765/2008.

4.2.2. Kryteria akredytacji jednostek oceniających zgodność

Jednostki oceniające zgodność akredytuje się jako organy kontrolne typu A zgodnie z normą ISO/IEC 17020:2012. Jednostki oceniające zgodność muszą spełniać wymogi dotyczące najwyższego poziomu niezależności.

Ponadto krajowa jednostka akredytująca ocenia zdolność jednostek oceniających zgodność do spełnienia wymogów określonych w pkt 4.3.1-4.3.4.

Personel odpowiedzialny za kontrole niezależnych podmiotów musi posiadać poziom wiedzy w zakresie naprawy i konserwacji pojazdów samochodowych oraz specyfiki motoryzacyjnego rynku wtórnego, który jest odpowiedni do wykonywanych zadań.

4.3. Rola jednostek oceniających zgodność

Jednostka oceniająca zgodność jest odpowiedzialna za kontrole niezależnych podmiotów i ich pracowników oraz za wydawanie świadectw kontroli zatwierdzenia i autoryzacji zgodnie z niniejszym dodatkiem, a także za unieważnianie takich świadectw.

4.3.1. Zakresy odpowiedzialności i wymogi

a) Jednostki oceniające zgodność przechowują dane przedłożone na potrzeby zatwierdzenia niezależnego podmiotu.

b) Jednostki oceniające zgodność ustanawiają bezpieczny kanał komunikacyjny z TC i przekazują TC wyniki kontroli w celu wydania tokena bezpieczeństwa wraz z certyfikatem cyfrowym.

c) Jednostki oceniające zgodność powiadamiają pracowników niezależnych podmiotów 6 miesięcy przed wygaśnięciem ich autoryzacji.

d) Jednostki oceniające zgodność prowadzą bazę danych zawierającą dane przedłożone na potrzeby uzyskania autoryzacji dla pracowników niezależnych podmiotów.

e) Jednostki oceniające zgodność, które odmawiają zatwierdzenia niezależnego podmiotu lub udzielenia autoryzacji pracownikowi niezależnego podmiotu, przekazują TC wyniki kontroli dotyczące danego niezależnego podmiotu lub danego pracownika.

f) Jednostki oceniające zgodność gromadzą i wykorzystują wyłącznie dane wymagane do celów procesu zatwierdzania lub autoryzacji.

g) Jednostki oceniające zgodność zachowują poufność wszystkich danych dotyczących niezależnych podmiotów i ich pracowników oraz zapewniają, aby dostęp do takich danych mieli wyłącznie autoryzowani pracownicy.

h) Raz do roku jednostki oceniające zgodność dostarczają SERMI i Komisji dane statystyczne dotyczące liczby wydanych zatwierdzeń i autoryzacji, a także liczby odmów.

i) Jednostki oceniające zgodność przechowują zabezpieczoną dokumentację dotyczącą zatwierdzeń i autoryzacji przez okres 5 lat.

j) Jednostki oceniające zgodność powiadamiają wszystkie pozostałe jednostki oceniające zgodność w państwie członkowskim, w którym mają siedzibę, o negatywnych wynikach kontroli niezależnych podmiotów.

k) Niezależne podmioty oraz pracownicy niezależnych podmiotów, których kontrole zakończyły się wynikiem negatywnym, mogą przekazać jednostce oceniającej zgodność dodatkowe informacje korygujące drobne niedociągnięcia w terminie 15 dni roboczych od otrzymania negatywnego wyniku kontroli. Jednostki oceniające zgodność ustalają odpowiednio, czy wynik kontroli ma zostać zmieniony.

l) Jednostki oceniające zgodność powiadamiają niezależne podmioty 6 miesięcy przed wygaśnięciem ich zatwierdzenia;

m) W okresie ważności zatwierdzenia wynoszącym 60 miesięcy jednostki oceniające zgodność przeprowadzają losowe i niezapowiedziane kontrole niezależnych podmiotów na miejscu oraz poddają każdy zatwierdzony niezależny podmiot przynajmniej jednej wyrywkowej kontroli na miejscu w trakcie tego okresu ważności zatwierdzenia wynoszącego 60 miesięcy;

n) Na podstawie skargi skierowanej przeciwko zatwierdzonemu niezależnemu podmiotowi lub autoryzowanemu pracownikowi niezależnego podmiotu jednostki oceniające zgodność sprawdzają, czy dany niezależny podmiot lub dany pracownik niezależnego podmiotu spełnia kryteria, na podstawie których został, odpowiednio, zatwierdzony lub autoryzowany. W trakcie dochodzenia jednostka oceniająca zgodność ustala, czy konieczna jest kontrola na miejscu;

o) Do celów kontroli na miejscu jednostki oceniające zgodność mogą zwrócić się o pomoc do organów nadzoru rynku z państwa członkowskiego, w którym mają siedzibę;

p) Jednostki oceniające zgodność cofają zatwierdzenia niezależnego podmiotu i autoryzacje pracowników niezależnego podmiotu, jeżeli nie spełniają już kryteriów, na podstawie których zostali odpowiednio zatwierdzeni lub autoryzowani. Jednostki oceniające zgodność zwracają się do TC o zawieszenie i uchylenie certyfikatu cyfrowego danych pracowników niezależnego podmiotu.

4.3.2. Przedłużenie zatwierdzenia

Na wniosek niezależnego podmiotu lub 6 miesięcy przed wygaśnięciem ważności zatwierdzenia, jednostki oceniające zgodność przeprowadzają kontrolę na miejscu, a w przypadku pozytywnego wyniku kontroli - przedłużają zatwierdzenie.

Jednostki oceniające zgodność wydają nowe świadectwo kontroli zatwierdzenia dla niezależnego podmiotu, który spełnia kryteria zatwierdzenia.

Jednostki oceniające zgodność dokonują oceny wniosków o przedłużenie autoryzacji i wydają świadectwo kontroli autoryzacji pracownikom niezależnego podmiotu spełniającym kryteria autoryzacji.

4.3.3. Kryteria zatwierdzania niezależnego podmiotu przez jednostkę oceniającą zgodność

Przed zatwierdzeniem niezależnego podmiotu oraz podczas każdej kontroli na miejscu w okresie ważności zatwierdzenia jednostki oceniające zgodność sprawdzają:

a) udokumentowaną własność niezależnego podmiotu, imię i nazwisko dyrektora zarządzającego;

b) przekazany przez niezależny podmiot wykaz pracowników, którzy mają zostać autoryzowani;

c) informacje na temat odpowiedzialności i funkcji pracowników, o których mowa w lit. a);

d) posiadanie przez niezależny podmiot ubezpieczenia od odpowiedzialności cywilnej z minimalną kwotą pokrycia w wysokości 1 mln EUR w przypadku uszkodzenia ciała i 0,5 mln EUR w przypadku szkód majątkowych;

e) czy zatwierdzenie niezależnego podmiotu zostało cofnięte z powodu nadużyć;

f) czy niezależny podmiot przedstawił dowód prowadzenia działalności w sektorze motoryzacyjnym;

g) czy deklaracja potwierdzająca, że niezależny podmiot prowadzi legalną działalność gospodarczą, o której mowa w pkt 6.3, została podpisana przez niezależny podmiot, oraz podczas kontroli na miejscu, czy organizacja ta faktycznie prowadzi legalną działalność gospodarczą;

h) czy niezależny podmiot lub jego pracownicy nie figurują w rejestrze karnym;

i) czy przedstawiciel prawny niezależnego podmiotu podpisał oświadczenie, że zapewniono zgodność z wymogami proceduralnymi określonymi w pkt 4.3.4 w odniesieniu do wszystkich czynności związanych z zabezpieczeniem pojazdu.

4.3.4. Kryteria autoryzacji pracownika niezależnego podmiotu przez jednostkę oceniającą zgodność

Przed autoryzacją pracownika niezależnego podmiotu oraz podczas każdej kontroli na miejscu w okresie ważności zatwierdzenia jednostka oceniająca zgodność weryfikuje, czy:

a) dany pracownik nie posiada wcześniej wydanej autoryzacji, która została cofnięta z powodu jej nadużycia;

b) pracownik nie figuruje w rejestrze karnym;

c) istnieje umowa o pracę między danym pracownikiem a zatwierdzonym niezależnym podmiotem;

d) dany pracownik posiada ważny dowód tożsamości danego państwa lub równoważny dokument.

4.4. Rola niezależnego podmiotu

4.4.1. Zakresy odpowiedzialności i wymogi

a) Niezależne podmioty zwracają się do jednostki oceniającej zgodność z wnioskiem o przeprowadzenie kontroli w celu uzyskania zatwierdzenia;

b) niezależne podmioty powiadamiają swoją jednostkę oceniającą zgodność o zmianach swoich danych kontaktowych;

c) niezależne podmioty powiadamiają swoją jednostkę oceniającą zgodność o likwidacji przedsiębiorstwa;

d) niezależne podmioty rejestrują każdą transakcję i operację dotyczącą RMI związanych z zabezpieczeniami;

e) niezależne podmioty powiadamiają swoją jednostkę oceniającą zgodność o każdym rozwiązaniu stosunku pracy z którymkolwiek ze swoich autoryzowanych pracowników;

f) niezależne podmioty zgłaszają właściwym organom każde przestępstwo lub przewinienie popełnione przez ich autoryzowanych pracowników, dotyczące RMI związanych z zabezpieczeniami;

g) niezależne podmioty zapewniają, aby ich autoryzowani pracownicy korzystali wyłącznie z własnych świadectw kontroli autoryzacji;

h) niezależne podmioty zapewniają, aby wszystkie opłaty związane z autoryzacją pracownika ich niezależnego podmiotu zostały uiszczone;

i) niezależne podmioty zapewniają, aby ich pracownicy byli przeszkoleni w zakresie konserwacji, przeprogramowania oraz funkcji zabezpieczeń i bezpieczeństwa pojazdów;

j) niezależny podmiot zwraca się do swojej jednostki oceniającej zgodność z wnioskiem o przeprowadzenie kontroli na miejscu w okresie sześciu miesięcy przed wygaśnięciem świadectwa kontroli zatwierdzenia.

4.5. Rola pracowników niezależnych podmiotów

4.5.1. Zakresy odpowiedzialności i wymogi

a) Pracownicy niezależnego podmiotu zwracają się do swojej jednostki oceniającej zgodność z wnioskiem o autoryzację;

b) pracownicy niezależnego podmiotu rejestrują się w systemie RMI producenta pojazdu;

c) pracownicy niezależnego podmiotu korzystają z dostępu do RMI związanych z zabezpieczeniami zgodnie z normą EN ISO 18541-2014;

d) pracownicy niezależnego podmiotu zapewniają, aby wszystkie zapisy RMI związanych z zabezpieczeniami pobrane z systemu RMI producenta pojazdu nie były przechowywane dłużej, niż jest to konieczne do przeprowadzenia operacji, dla której informacje te są potrzebne;

e) w stosownych przypadkach pracownicy niezależnego podmiotu powiadamiają niezależny podmiot będący ich pracodawcą o tym, że ich certyfikat cyfrowy nie jest już potrzebny;

f) pracownik niezależnego podmiotu nie może udostępniać żadnej osobie trzeciej tokena bezpieczeństwa, certyfikatu cyfrowego ani numeru PIN;

g) pracownicy niezależnego podmiotu są odpowiedzialni za prawidłowe używanie osobistego tokena bezpieczeństwa i numeru PIN;

h) pracownicy niezależnego podmiotu informują swojego pracodawcę i TC w ciągu 24 godzin o każdej utracie lub niewłaściwym użyciu swojego tokena bezpieczeństwa;

i) pracownicy niezależnego podmiotu zgłaszają właściwym organom wszelkie wnioski lub działania innych pracowników niezależnego podmiotu dotyczące RMI związanych z zabezpieczeniami, które nie stanowią legalnej działalności gospodarczej, o której mowa w pkt 6.3 niniejszego załącznika.

4.6. Rola centrum zaufania

TC tworzą i przesyłają certyfikaty cyfrowe do niezależnych podmiotów i pracowników niezależnych podmiotów za pośrednictwem odpowiednich jednostek oceniających zgodność. TC prowadzą bazę danych wydanych świadectw kontroli autoryzacji. TC zapewniają producentom pojazdów dostęp do interfejsu w celu weryfikacji statusu certyfikatów cyfrowych i świadectw kontroli autoryzacji.

TC przechowują informacje dotyczące pracowników niezależnego podmiotu w bazie danych autoryzacji przez dodatkowy okres nieprzekraczający 60 miesięcy. Okres ten nie może być dłuższy niż pozostały okres ważności zatwierdzenia udzielonego niezależnemu podmiotowi, w którym świadczy pracę dany pracownik niezależnego podmiotu.

4.6.1. Zakresy odpowiedzialności i wymogi

a) Na wniosek jednostki oceniającej zgodność TC mogą zawiesić lub uchylić certyfikaty cyfrowe;

b) TC dostarczają niezależnemu podmiotowi i pracownikom niezależnego podmiotu oprogramowanie do korzystania z certyfikatów cyfrowych;

c) TC działają 24 godziny na dobę przez 7 dni w tygodniu.

4.7. Rola producentów pojazdów

Producenci pojazdów zapewniają wszystkim zatwierdzonym niezależnym podmiotom i autoryzowanym pracownikom niezależnego podmiotu dostęp do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji. Producenci pojazdów komunikują się z TC w celu weryfikacji autoryzacji oraz statusu autoryzacji pracowników niezależnego podmiotu ubiegających się o dostęp do takich informacji.

4.7.1. Zakresy odpowiedzialności i wymogi

a) Producenci pojazdów zapewniają, aby ich strony internetowe były dostosowane do obsługi dostępu dla niezależnych podmiotów do RMI związanych z zabezpieczeniami;

b) producenci pojazdów dopilnowują pobrania przez nich specyfikacji technicznych udostępnionych na stronie internetowej SERMI.

4.7.2. Wymogi proceduralne dla producentów pojazdów

Producenci pojazdów nie udzielają dostępu do RMI związanych z zabezpieczeniami, o ile nie spełniono wszystkich następujących wymogów proceduralnych:

1) Wymogi proceduralne dotyczące skradzionych pojazdów

Producenci pojazdów prowadzą rejestr wszystkich pojazdów ich marki zgłoszonych przez organy jako skradzione.

Producenci pojazdów muszą wprowadzić proces zapewniający wyraźną identyfikowalność i rozliczalność oraz umożliwiający właściwym organom prześledzenie danych dostarczonych przez producenta pojazdu pracownikowi niezależnego podmiotu, któremu przyznano dostęp do informacji dotyczących skradzionego pojazdu.

2) Wymogi proceduralne dotyczące przechowywania informacji

Producenci pojazdów przechowują następujące informacje w odniesieniu do każdego udzielonego dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji:

a) numer identyfikacyjny pojazdu (VIN) pojazdu, w odniesieniu do którego wystąpiono z wnioskiem o informacje;

b) datę zgłoszenia wniosku;

c) numer rejestracyjny pojazdu, w odniesieniu do którego wystąpiono z wnioskiem o informacje, jeżeli jest dostępny;

d) wariant typu pojazdu, w odniesieniu do którego wystąpiono z wnioskiem o informacje, oraz wersję tego pojazdu, jeżeli jest dostępna.

Producenci pojazdów przechowują takie dane przez 5 lat.

¹ Dz.U. L 151 z 14.6.2018, s. 1.

² Sprawozdanie Komisji dla Parlamentu Europejskiego i Rady w sprawie funkcjonowania systemu dostępu do informacji dotyczących naprawy i utrzymania pojazdów ustanowionego rozporządzeniem (WE) nr 715/2007 w sprawie homologacji typu pojazdów silnikowych w odniesieniu do emisji zanieczyszczeń pochodzących z lekkich pojazdów pasażerskich i użytkowych (Euro 5 i Euro 6) oraz w sprawie dostępu do informacji dotyczących naprawy i utrzymania pojazdów, COM(2016) 782 final.

³ Regulamin nr 83 Europejskiej Komisji Gospodarczej Organizacji Narodów Zjednoczonych (EKG ONZ) - Jednolite przepisy dotyczące homologacji pojazdów w zakresie emisji zanieczyszczeń w zależności od paliwa zasilającego silnik (Dz.U. L 42 z 15.2.2012, s. 1).

⁴ Regulamin nr 49 Europejskiej Komisji Gospodarczej Organizacji Narodów Zjednoczonych (EKG/ONZ) - Jednolite przepisy dotyczące działań, jakie mają zostać podjęte przeciwko emisji zanieczyszczeń gazowych i pyłowych przez silniki o zapłonie samoczynnym (ZS) stosowane w pojazdach oraz emisji zanieczyszczeń gazowych z silników o zapłonie iskrowym (ZI) napędzanych gazem ziemnym lub skroplonym gazem węglowodorowym stosowanych w pojazdach (Dz.U. L 180 z 8.7.2011, s. 53).

⁵ Zgodnie z definicją w art. 3 pkt 10 rozporządzenia (WE) nr 715/2007.

⁶ Zgodnie z definicją w art. 3 pkt 8 rozporządzenia (WE) nr 595/2009.

⁷ Wymogi określone w niniejszym dodatku opierają się na wymogach określonych w "Systemie akredytacji, zatwierdzania i autoryzacji w zakresie dostępu do związanych z zabezpieczeniami informacji dotyczących naprawy i konserwacji (RMI)", zatwierdzonym w dniu 19 maja 2016 r. przez organizację Europejska Współpraca w Dziedzinie Akredytacji (https://www.vehiclesermi.eu/).

⁸ Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylające dyrektywę 1999/93/WE (Dz.U. L 257 z 28.8.2014, s. 73).