(EU) 2026/699Nařízení Komise v přenesené pravomoci (EU) 2026/699 ze dne 23. března 2026, kterým se mění nařízení Evropského parlamentu a Rady (EU) 2018/858, pokud jde o standardizovaný přístup k informacím palubního diagnostického systému vozidla a k informacím o opravách a údržbě vozidla a požadavky a postupy pro bezpečný přístup k informacím palubního diagnostického systému

1.   

Oblast působnosti

1.1.   

Tento dodatek obsahuje veškeré podmínky přístupu, které může výrobce stanovit, a veškeré postupy, které musí výrobce vozidla použít nebo které může požadovat od jiných stran, při provádění bezpečnostních opatření pro přístup k informacím OBD podle bodu 2.9 písm. a) a b) této přílohy.

1.2.   

Jakýkoli odkaz v tomto dodatku na samostatné provozovatele nebo na autorizované partnery výrobce, obchodní zástupce a opravny, jakož i na výrobce vozidel jednajícího za účelem oprav a údržby v tomto dodatku zahrnuje jakoukoli osobu nebo provozovatele jednající jejich jménem, jako je poskytovatel služeb provádějící na dálku programování, instalaci nebo aktivaci dílů a zařízení ve vozidle jako službu poskytovanou samostatnému provozovateli (poskytovatel vzdálených služeb).

2.   

Povinnosti výrobce

2.1.   

Výrobce vozidla odpovídá za zajištění toho, aby byly splněny všechny technické předpoklady pro uplatňování postupů uvedených v tomto dodatku, včetně přístupových údajů, jako jsou certifikáty nebo softwarové tokeny, a nezbytných ujednání s výrobci diagnostických nástrojů.

2.2.   

Výrobce vozidla musí schvalovacímu orgánu prokázat, že vozidlo je konstruováno tak, aby umožňovalo přístup k informacím OBD v souladu s požadavky tohoto dodatku za použití diagnostických nástrojů různých značek.

2.3.   

Výrobce vozidla poskytne výrobcům diagnostických nástrojů informace uvedené v bodě 11 tohoto dodatku.

2.4.   

Výrobce vozidla zajistí, aby jakýkoli server používaný za účelem umožnění přístupu podle bodu 2.9 této přílohy byl přístupný nepřetržitě, s výjimkou výjimečných a nepředvídatelných okolností, které výrobce vozidla nemůže ovlivnit a které nelze přičíst jeho nedbalosti, nebo podle potřeb údržby informačního systému. V případě údržby nesmí doba nedostupnosti přesáhnout dobu údržby jakéhokoli jiného serveru používaného výrobcem k umožnění přístupu pro účely uvedené v bodě 2.9 této přílohy. Informace o plánované údržbě musí být výrobcům diagnostických nástrojů zpřístupněny s dostatečným předstihem.

Výrobce vozidla na požádání zpřístupní schvalovacímu orgánu roční statistické informace o dostupnosti serveru. Výrobce vozidla neprodleně nahlásí případy nedostupnosti serveru Fóru OBD definovanému v bodě 12.

2.5.   

Výrobce vozidla nesmí omezit přístup k informacím OBD nad rámec omezení stanovených v tomto dodatku, není-li v tomto nařízení výslovně stanoveno jinak. Výrobce vozidla dále nesmí omezovat přístup samostatných provozovatelů k informacím palubního diagnostického systému nad rámec omezení platných pro jeho autorizované partnery, obchodní zástupce a opravny nebo pro výrobce vozidla, který má přístup k informacím OBD pro účely oprav a údržby.

2.6.   

Výrobce vozidla zajistí, aby opatření v oblasti kybernetické bezpečnosti, která provádí, včetně požadavků na kompatibilitu uvedených v bodě 6.2, nevedla k omezení nebo znemožnění přístupu k informacím OBD podle tohoto dodatku nad rámec toho, co je nezbytné a přiměřené k dosažení souladu s čl. 4 odst. 5 písm. d) a řádkem D4 přílohy II nařízení (EU) 2019/2144. Tato opatření mohou řešit budoucí rizika a hrozby, pokud výrobce vozidla může prokázat jejich dopad a pravděpodobnost.

2.7.   

Žádná opatření zavedená výrobcem vozidla s cílem zabránit nedovoleným zásahům do emisí a podvodům s počitadly ujetých kilometrů nesmí omezovat přístup k informacím OBD nebo mu bránit nad rámec toho, co je nezbytné a přiměřené k dosažení souladu s čl. 4 odst. 7 a 8 nařízení (EU) 2024/1257 (*4).

3.   

Autentizace

3.1.   

3.2.   

Pokud přístup k informacím OBD zahrnuje změny na vozidle, může výrobce vozidla jako podmínku pro vydání přístupových údajů požadovat autentizaci provozovatele. V případě zařízení používaných pro účely monitorování, kdy jsou údaje čteny a autonomně hlášeny pouze na server výrobců diagnostických nástrojů bez jakékoli interakce s člověkem, výrobce vozidla autentizaci provozovatele nepožaduje.

3.3.   

Pokud přístup k informacím OBD zahrnuje změnu softwaru vozidla nebo jeho konfigurace / jeho parametrů, která spočívá v přeprogramování softwarového kódu vozidla, což vede ke změně zamýšleného chování vozidla a přetrvává i po operaci opravy a údržby, takže ji lze vrátit nebo přepsat pouze provedením rovnocenné operace, může výrobce vozidla požadovat autentizaci zaměstnance provozovatele, který o přístup k informacím OBD žádá, ledaže výrobce diagnostického nástroje osvědčí výrobci vozidla, že na základě výsledku nezávislého auditu provedeného ne dříve než tři roky před podáním žádosti má provozovatel zaveden systém, jenž umožňuje jednoznačnou identifikaci zaměstnance, který o takový přístup žádá.

3.4.   

Případy přístupu uvedené v bodě 3.2 zahrnují takové operace oprav a údržby, jako je aktivace ovládacích prvků a postupy funkčních zkoušek, odstranění diagnostických chybových kódů, přenastavení servisních kontrolek, přenastavení parametrů adaptivního učení a výměna dílů, včetně inicializace neinteligentních konstrukčních částí a čtení údajů identifikátorem, s výjimkou případů, kdy se používají pro účely pravidelných technických prohlídek s hodnotami srovnatelnými s hodnotami definovanými v příloze B normy ISO 20730-3, pokud jsou tyto hodnoty ve vozidle k dispozici.

3.5.   

Případy přístupu uvedené v bodě 3.2 zahrnují kalibraci, chápanou jako proces úpravy nebo seřízení softwarových a hardwarových parametrů vozidla podle pokynů výrobce vozidla a bez kódování variant nebo úpravy softwaru vozidla.

3.6.   

3.7.   

V případech uvedených v bodě 3.6 písm. b) a c) musí být totožnost provozovatele a případně jeho zaměstnance a splnění požadavků na oprávnění uvedených v bodech 8.1 a 8.2 z jejich strany ověřeny výrobcem diagnostického nástroje použitého pro přístup k informacím OBD nebo prokázány na základě osvědčení o oprávnění uvedeného v bodě 9.2.

3.8.   

Výrobce vozidla nesmí za umožnění přístupu podle bodu 2.9 přílohy X požadovat žádné poplatky. Může však účtovat odůvodněné a přiměřené poplatky za použití zařízení pro vzdálený přístup uvedeného v bodě 2.9 písm. c).

4.   

Požadavky na připojení

4.1.   

S výjimkou případů přístupu uvedených v bodě 3.1 písm. a) až c) může výrobce vozidla k získání přístupových údajů požadovat jednorázové online připojení z diagnostického nástroje přes server výrobce diagnostického nástroje na server výrobce vozidla. Po poskytnutí přístupových údajů nesmí být pro přístup vyžadováno online připojení.

4.2.   

Pokud přístup k informacím OBD zahrnuje změnu softwaru vozidla nebo jeho konfigurace či parametrů vedoucí ke změně zamýšleného chování vozidla, která trvá i po operaci opravy a údržby a kterou lze vrátit nebo přepsat pouze provedením rovnocenné operace, může výrobce vozidla při provádění opravy požadovat nepřetržité online připojení z diagnostického nástroje na server výrobce diagnostického nástroje, jakož i od výrobce diagnostického nástroje na server výrobce vozidla.

4.3.   

4.4.   

Případy přístupu uvedené v bodě 4.2 nezahrnují operace oprav a údržby uvedené v bodech 3.4 a 3.5.

4.5.   

Odchylně od bodu 4.4 však případy přístupu uvedené v bodě 4.2 zahrnují operace oprav a údržby uvedené v bodě 3.5, kdy je nezbytné potvrdit kalibrační hodnoty, které podléhají regulačním požadavkům, nebo kdy kalibraci nelze dokončit bez údajů specifických pro jednotlivé konstrukční části nebo samostatné technické celky, které jsou nezbytné k dokončení procesu opravy a které jsou získány ze serveru výrobce v rámci procesu kódování variant.

5.   

Požadavky na sledovatelnost

5.1.   

S výjimkou případů přístupu uvedených v bodě 3.1 písm. a) až c) může výrobce vozidla požadovat, aby výrobce diagnostických nástrojů shromažďoval a uchovával VIN vozidla a jedinečný identifikátor diagnostického nástroje.

5.2.   

Pokud přístup k informacím OBD zahrnuje změny na vozidle, může výrobce vozidla požadovat, aby výrobce diagnostického nástroje shromažďoval a uchovával informace o všech provedených diagnostických pracích (např. identifikátor služby a podfunkce) a použitých parametrech/atributech data a časových razítek UTC pro každou interakci s vozidlem.

5.3.   

Případy přístupu uvedené v bodě 5.2 zahrnují takové operace oprav a údržby, jaké jsou uvedeny v bodech 3.4, 3.5, 4.3 a 4.5.

5.4.   

Pokud přístup k informacím OBD zahrnuje změnu softwaru vozidla nebo jeho konfigurace / jeho parametrů, která spočívá v přeprogramování softwarového kódu vozidla, což vede ke změně zamýšleného chování vozidla a přetrvává i po operaci opravy a údržby, takže ji lze vrátit nebo přepsat pouze provedením rovnocenné operace, může výrobce vozidla požadovat, aby výrobce diagnostických nástrojů shromáždil a poskytl výsledky kontroly topologické sítě vozidla, počáteční stav vozidla při připojení, včetně hardwarových/softwarových verzí všech elektronických řídicích jednotek instalovaných ve vozidle, výsledky všech interakcí modulu a rutinních postupů (např. výstupní parametry) a výsledky závěrečného přečtení kontroly stavu vozidla po opravě.

5.5.   

Případy přístupu uvedené v bodě 5.4 zahrnují takové operace oprav a údržby, jako je spárování originálního náhradního dílu (včetně softwarově a hardwarově kompatibilního (podle definice výrobce vozidla), repasovaného nebo opětovně použitého dílu) nebo náhradního dílu schváleného výrobcem vozidla s vozidlem za použití nezávislého diagnostického nástroje a přeprogramování modulu s využitím softwaru originálního vybavení vozidla a programového softwaru originálního vybavení v souladu s pokyny výrobce vozidla. Uvedené případy zahrnují rovněž případy odpojení dílu od vozidla nebo zrušení jeho registrace.

5.6.   

Případy přístupu uvedené v bodě 5.4 nezahrnují operace oprav a údržby uvedené v bodech 3.4, 3.5, 4.3 a 4.5.

6.   

Požadavky na kybernetickou bezpečnost diagnostického nástroje

6.1.   

S výjimkou případů přístupu uvedených v bodě 3.1 písm. a) až c) může výrobce vozidla požadovat, aby diagnostický nástroj používaný pro přístup k informacím OBD splňoval příslušné požadavky nařízení Evropského parlamentu a Rady (EU) 2024/2847 (*7) a aby výrobce diagnostického nástroje splňoval buď požadavky na důvěryhodnou výměnu hodnocení informační bezpečnosti (TISAX) na úrovni stanovené výrobcem vozidla v souladu s bodem 2.5, nebo normu ISO 27001.

6.2.   

Pokud přístup k informacím OBD zahrnuje změny na vozidle uvedené v bodě 3.2, může výrobce vozidla požadovat, aby diagnostický nástroj používaný pro přístup k informacím OBD a výrobce diagnostického nástroje splňovali požadavky výrobce vozidla na provedení bezpečnostních opatření.

6.3.   

Požadavky výrobce vozidla na provedení bezpečnostních opatření nesmí překročit požadavky kladené na vlastní diagnostický nástroj výrobce vozidla, dodavatele nástrojů a vlastní organizaci a musí být uplatňovány nediskriminačním způsobem.

6.4.   

Výrobce vozidla může požadovat, aby výrobce diagnostického nástroje provedl zkoušky k ověření shody diagnostického nástroje se stanovenými požadavky. Dohoda o úrovni služeb zajistí, aby každé ověření výsledků těchto zkoušek bylo výrobcem vozidla provedeno včas. V případě, že se splnění požadavků tohoto bodu výrobcem diagnostického nástroje nepotvrdí, poskytne výrobce vozidla jasné odůvodnění této neshody spolu s požadovanými opatřeními, která má výrobce diagnostického nástroje provést.

6.5.   

Případy přístupu uvedené v bodě 6.2 zahrnují takové operace oprav a údržby, jaké jsou uvedeny v bodech 3.4 a 3.5.

6.6.   

Pokud přístup k informacím OBD zahrnuje změnu softwaru vozidla nebo jeho konfigurace / jeho parametrů, která vede ke změně zamýšleného chování vozidla, jež přetrvává i po operaci opravy a údržby, takže ji lze vrátit nebo přepsat pouze provedením rovnocenné operace, může výrobce vozidla požadovat, aby diagnostický nástroj použitý pro přístup k informacím OBD a výrobce diagnostického nástroje splňovali příslušné požadavky výrobce vozidla na provádění systému řízení aktualizací softwaru (podle definice v předpisu OSN č. 156 (*8). Tyto požadavky nesmí překročit požadavky kladené na vlastní diagnostický nástroj výrobce vozidla, dodavatele nástrojů a vlastní organizaci a musí být uplatňovány nediskriminačním způsobem.

6.7.   

Případy přístupu uvedené v bodě 6.6 zahrnují takové operace oprav a údržby, jaké jsou uvedeny v bodech 4.3, 4.5 a 5.5, a nezahrnují takové operace, jaké jsou uvedeny v bodech 3.4 a 3.5.

7.   

Přístupové údaje

7.1.   

Jsou-li splněny všechny podmínky uvedené v oddílech 3, 4 a 6, výrobce vozidla neprodleně poskytne výrobci diagnostických nástrojů přístupové údaje dostatečné k tomu, aby mu umožnily přístup k požadovaným informacím OBD.

7.2.   

Přístupové údaje mohou být specifické pro konkrétní VIN.

7.3.   

Přístupové údaje jsou platné po dobu nejméně 30 dnů od poskytnutí.

7.4.   

Pokud však přístup k informacím OBD zahrnuje změnu na vozidle, může výrobce vozidla omezit platnost přístupových údajů na 24 hodin.

7.5.   

Případy přístupu uvedené v bodě 7.4 zahrnují takové operace oprav a údržby, jaké jsou uvedeny v bodech 3.4, 3.5, 4.3, 4.5 a 5.5.

8.   

Kritéria pro oprávnění a osvědčení o oprávnění

8.1.   

Výrobce vozidla nesmí pro vydání přístupových údajů stanovit žádné jiné podmínky než ty, které jsou uvedeny v písmenech a) a b).

8.2.   

V případech uvedených v bodě 5.4, kdy výrobce vozidla požaduje autentizaci zaměstnance provozovatele, a pokud výrobce diagnostického nástroje neprokáže výrobci vozidla v souladu s podmínkami stanovenými v bodě 3.3, že provozovatel má zaveden systém umožňující jednoznačnou identifikaci zaměstnance, který o takový přístup žádá, může výrobce vozidla odmítnout vydat přístupové údaje, pokud výrobce diagnostického nástroje používaného pro přístup k informacím OBD kromě podmínek uvedených v bodě 8.1 neprokáže, že zaměstnanec žádající o přístup k informacím OBD má pracovní smlouvu s provozovatelem žádajícím o přístup k informacím OBD a že dotčený zaměstnanec má platný průkaz totožnosti konkrétní země nebo rovnocenný doklad.

8.3.   

Aby byl výrobce diagnostických nástrojů způsobilý k postupu autentizace podle tohoto dodatku, musí se ve všeobecných podmínkách smluv s provozovateli zavázat, že na žádost samostatného provozovatele přijme za účelem potvrzení souladu s požadavky uvedenými v bodech 8.1 a 8.2 osvědčení uvedené v bodě 9.2 tohoto dodatku, které bylo vydáno nejdříve 60 měsíců před podáním žádosti o přístup. Pokud však provozovatel nepožádá o autentizaci na základě takového osvědčení, může se výrobce diagnostických nástrojů pro účely autentizace rozhodnout ověřit totožnost provozovatele nebo jeho zaměstnance a soulad s kritérii pro oprávnění vlastními postupy.

9.   

Subjekt posuzování shody a centrum zabezpečení

9.1.   

Osvědčení uvedená v bodech 3.7 a 8.3 vydává centrum zabezpečení uvedené v bodě 2.1.6 dodatku 3 na základě zjištění subjektu posuzování shody uvedeného v bodě 4.2.2 dodatku 3 s ohledem na okolnosti uvedené v bodě 9.2.

9.2.   

9.3.   

10.   

Přístup výrobce vozidla k informacím týkajícím se provozovatele

10.1.   

V případech uvedených v písmenech b) a c) musí tyto informace v příslušných případech zahrnovat informace o provozovateli a/nebo jeho zaměstnancích. V případech, kdy výrobce diagnostického nástroje při autentizaci využil ověření poskytnuté centrem zabezpečení, poskytne příslušný subjekt posuzování shody požadované informace na základě svého posouzení zdokumentované žádosti podané výrobcem vozidla.

Výrobce vozidla zajistí, aby informace týkající se jednotlivé operace opravy nebo údržby, k nimž byl umožněn přístup pro účely uvedené v písmenech a) až c), nebyly použity k žádnému jinému účelu.

10.2.   

V případech uvedených v bodě 10.1 výrobce diagnostického nástroje neprodleně informuje samostatného provozovatele a v příslušných případech jeho zaměstnance o přístupu k informacím týkajícím se jednotlivé operace opravy nebo údržby nebo k informacím týkajícím se provozovatele a/nebo jeho zaměstnanců.

10.3.   

V případech uvedených v bodě 10.1 písm. a) a c), a pokud je to nezbytné a přiměřené k zamezení dalšího zneužití nebo vyřešení kybernetického bezpečnostního rizika, může výrobce vozidla dočasně pozastavit nebo omezit přístup dotčeného diagnostického nástroje nebo požádat dotčeného výrobce diagnostického nástroje, aby přijal okamžitá opatření k dočasnému omezení přístupu dotčeného provozovatele, diagnostického nástroje nebo zaměstnance k informacím OBD týkajícím se vozidel tohoto výrobce.

10.4.   

Ve výjimečných případech může výrobce vozidla v reakci na významný aktuální nebo bezprostředně hrozící kybernetický bezpečnostní incident pozastavit přístup k informacím OBD na co nejpodrobnější úrovni, pokud je to nezbytné a přiměřené pro reakci na dotčený incident.

10.5.   

Schvalovací orgán do deseti dnů ode dne oznámení přezkoumá důvody pozastavení, a pokud je pozastavení zjevně neodůvodněné nebo nepřiměřené, požádá výrobce vozidla nebo dotčeného výrobce diagnostického nástroje o obnovení přístupu.

Schvalovací orgán může požádat výrobce vozidla a dotčeného výrobce diagnostického nástroje o obnovení přístupu kdykoli, pokud se domnívá, že důvody pro pozastavení pominuly.

11.   

Informace, které mají být poskytnuty výrobcům diagnostických nástrojů

11.1.   

11.2.   

11.3.   

11.4.   

11.5.   

Informace uvedené v bodech 11.1 až 11.3 se poskytnou spolu s žádostí o schválení typu.

12.   

Fórum OBD

12.1.   

12.2.   

12.3.   

Členy Fóra OBD jsou výrobci vozidel a samostatní provozovatelé, kteří se podílejí na provádění a využívání postupů a procesů popsaných v bodě 12.1.

12.4.   

Fórum OBD funguje v rámci společné právní a organizační struktury jako „Fórum pro přístup k informacím o opravách a údržbě vozidla souvisejícím s bezpečností“ uvedené v bodě 2.1.12 dodatku 3.