1. Výrobce provede posouzení shody produktu s digitálními prvky a postupů, které zavedl, s cílem určit, zda jsou splněny základní požadavky na kybernetickou bezpečnost stanovené v příloze I. Výrobce prokazuje shodu se základními požadavky na kybernetickou bezpečnost v rámci některého z těchto postupů:
a) postupu interní kontroly (na základě modulu A) stanoveného v příloze VIII,
b) EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII,
c) posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII, nebo
d) případně, pokud je k dispozici, evropského schématu certifikace kybernetické bezpečnosti podle čl. 27 odst. 9.
2. Pokud při posuzování souladu důležitého produktu s digitálními prvky, který spadá do třídy I podle přílohy III, a postupů zavedených jeho výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I výrobce nepoužil harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ podle článku 27, nebo je použil pouze částečně, nebo jestliže takové harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti neexistují, použije se na dotčený produkt s digitálními prvky a na postupy zavedené výrobcem s ohledem na tyto základní požadavky na kybernetickou bezpečnost kterýkoliv z těchto postupů:
a) EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII, nebo
b) posuzování shody založené na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII.
3. Pokud je produkt důležitým produktem s digitálními prvky, který spadá do třídy II podle přílohy III, výrobce prokáže shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci některého z těchto postupů:
a) EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII,
b) posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII, nebo
c) případně, pokud je k dispozici, evropského schématu certifikace kybernetické bezpečnosti uvedeného v čl. 27 odst. 9 tohoto nařízení alespoň na úrovni záruky „významná“ podle nařízení (EU) 2019/881.
4. U kritických produktů s digitálními prvky uvedených v příloze IV se prokazuje shoda se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci jednoho z těchto postupů:
a) evropského schématu certifikace kybernetické bezpečnosti podle čl. 8 odst. 1, nebo
b) pokud nejsou splněny podmínky v čl. 8 odst. 1, některého z postupů uvedených v odst. 3 tohoto článku.
5. Výrobci produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem, které patři do kategorií uvedených v příloze III, mají možnost prokázat shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci jednoho z postupů uvedených v odst. 1 tohoto článku za předpokladu, že je v okamžiku uvedení těchto produktů na trh zpřístupněna veřejnosti technická dokumentace uvedená v článku 31.
6. Při stanovování poplatků za posuzování shody se vezmou v úvahu specifické zájmy a potřeby mikropodniků a malých a středních podniků, včetně začínajících podniků, a tyto poplatky se přiměřeně k jejich specifickým zájmům a potřebám sníží.