Overweging 39 van 130

Net als bij fysieke reparaties of wijzigingen moet een product met digitale elementen worden beschouwd als ingrijpend gewijzigd door een softwarewijziging indien de software-update het beoogde doel van het product wijzigt en die wijzigingen niet in de initiële risicobeoordeling waren voorzien door de fabrikant, of indien de aard van het risico is gewijzigd of het niveau van het cyberbeveiligingsrisico is toegenomen als gevolg van de software-update, en de bijgewerkte versie van het product op de markt is aangeboden. Wanneer een beveiligingsupdate die is ontworpen om het cyberbeveiligingsrisico van een product met digitale elementen te verminderen, het beoogde doel van een product met digitale elementen niet wijzigt, wordt hij niet als een ingrijpende wijziging beschouwd. Het gaat daarbij gewoonlijk om situaties waarin een beveiligingsupdate slechts kleine aanpassingen van de broncode met zich meebrengt. Dat kan bijvoorbeeld gebeuren wanneer een beveiligingsupdate betrekking heeft op een bekende kwetsbaarheid, onder meer wanneer de functies of prestaties van een product met digitale elementen worden gewijzigd met als enig doel het niveau van het cyberbeveiligingsrisico te verminderen. Evenzo mag een kleine functionaliteitsupdate, zoals een visuele verbetering, de toevoeging van nieuwe pictogrammen of talen aan de gebruikersinterface, over het algemeen niet als een ingrijpende wijziging worden beschouwd. Omgekeerd moet een kenmerkupdate die de oorspronkelijke beoogde functies, het type product of de prestaties van een product met digitale elementen wijzigt en aan de bovenvermelde criteria voldoet, als een ingrijpende wijziging worden beschouwd, aangezien de toevoeging van nieuwe kenmerken doorgaans het aanvalsoppervlak vergroten, waardoor het cyberbeveiligingsrisico toeneemt. Dat kan bijvoorbeeld het geval zijn wanneer een nieuw input-element aan een toepassing wordt toegevoegd, waardoor de fabrikant de input naar behoren moet valideren. Bij de beoordeling of een kenmerkupdate als een ingrijpende wijziging wordt beschouwd, is het niet relevant of die wordt verstrekt als een afzonderlijke update of in combinatie met een beveiligingsupdate. De Commissie moet richtsnoeren uitvaardigen over de manier waarop moet worden bepaald wat een ingrijpende wijziging inhoudt.