Dichiarazione UE di conformità CRA: modello ed elementi

Ogni prodotto con elementi digitali ha bisogno di una Dichiarazione UE di conformità prima di poter legalmente apporre la marcatura CE. La DoC è la dichiarazione formale con cui attesti che il prodotto soddisfa i requisiti del CRA. La responsabilità giuridica della sua accuratezza è del Fabbricante.

Questa guida fornisce un modello completo e spiega ciascun elemento richiesto.

Che cos'è la Dichiarazione UE di conformità?

La Dichiarazione UE di conformità è un documento giuridico formale con cui il Fabbricante dichiara che un prodotto è conforme alla pertinente legislazione UE. È obbligatoria per tutti i prodotti con elementi digitali prima che possano portare la marcatura CE. Per i prodotti CRA, deve attestare che:

• Il prodotto soddisfa i requisiti essenziali di cibersicurezza.
• La valutazione di conformità è stata completata.
• Il Fabbricante si assume la responsabilità giuridica.

Senza una DoC firmata, il prodotto non può portare la marcatura CE e non può essere legalmente immesso sul mercato UE.

Cosa richiede il CRA nella DoC?

La DoC va redatta prima dell'immissione sul mercato, tenuta aggiornata man mano che il prodotto o il suo stato di conformità cambiano, tradotta nella lingua o nelle lingue richieste da ciascuno Stato membro in cui il prodotto è venduto e conservata insieme al fascicolo tecnico per almeno dieci anni.

Elementi richiesti

#	Elemento	Cosa includere
1	Nome e tipo del prodotto	Nome, tipo e qualsiasi altra informazione che consenta l'identificazione univoca del prodotto con elementi digitali.
2	Identificazione del Fabbricante	Nome e indirizzo del Fabbricante o del suo Mandatario.
3	Dichiarazione di esclusiva responsabilità	Formulazione esatta: «La presente dichiarazione di conformità è rilasciata sotto la responsabilità esclusiva del fornitore.»
4	Oggetto della dichiarazione	Identificazione del prodotto che ne consenta la tracciabilità, eventualmente con fotografia ove opportuno.
5	Attestazione di conformità	Conferma che l'oggetto è conforme al Regolamento (UE) 2024/2847.
6	Norme e certificazioni applicate	Norme armonizzate, specifiche comuni o certificazioni di cibersicurezza su cui ci si è basati.
7	Dati dell'organismo notificato	Nome, numero, procedura di valutazione di conformità eseguita, riferimento del certificato. Richiesto solo quando è stato usato un modulo di valutazione di terze parti.
8	Informazioni aggiuntive e firma	Luogo e data di emissione; nome, funzione e firma del firmatario (autografa o elettronica qualificata). Altre informazioni aggiuntive ove necessario.

Ciascuna riga corrisponde al punto numerato dell'Allegato V.

Modello completo di DoC

Usalo come punto di partenza. Personalizza i campi tra parentesi quadre per il tuo prodotto.

Guida sezione per sezione

1. Identificazione del documento

Numero di dichiarazione. Non obbligatorio, ma fortemente raccomandato per il controllo delle versioni. Un formato pratico è DoC-[CodiceProdotto]-[Anno]-[Sequenza], per esempio DoC-SSP3000-2027-001.

Data di emissione. La data in cui firmi la dichiarazione. Deve essere successiva al completamento della valutazione di conformità.

2. Identificazione del Fabbricante

Il firmatario è il Fabbricante: una persona autorizzata a impegnarlo giuridicamente. Il CRA consente la nomina di un Mandatario, ma non la rende obbligatoria di per sé; ove nominato, il Mandatario può essere indicato nella dichiarazione e tenerla a disposizione delle autorità, ma l'atto di dichiarare la conformità rimane in capo al Fabbricante (Articolo 28). Se viene indicato un Mandatario, aggiungi una riga del tipo:

Mandatario: [Nome, Indirizzo]
che agisce per conto di: [Nome del Fabbricante, Indirizzo]

3. Identificazione del prodotto

Sii sufficientemente specifico per la tracciabilità: includi numeri di modello, versioni hardware e software separate, e l'ambito dei numeri di lotto o di serie.

Esempio:

Nome prodotto:     SmartSense Pro Industrial Sensor
Modello/Tipo:      SSP-3000
Vers. hardware:    Rev C (PCB v3.2)
Vers. software:    Firmware 2.4.1
Lotto/Serie:       Numeri di serie SSP3K-2027-XXXXXX

4. Valutazione di conformità

Il modulo da usare dipende dalla classificazione del tuo prodotto. Usa questa tabella per orientarti:

Modulo	Quando si applica	Organismo notificato?
Modulo A (Internal Production Control)	Prodotti predefiniti; Classe I Importante quando norme, specifiche o schemi pertinenti sono applicati integralmente	No
Modulo B+C (Esame UE del tipo)	Disponibile per tutti i prodotti; opzione richiesta per Classe I Importante quando non sono applicati integralmente; una rotta per Classe II Importante e fallback Critico	Sì
Modulo H (Full Quality Assurance)	Tutti i prodotti; alternativa a B+C per Classe I Importante e Classe II Importante	Sì
EUCC / schema di cibersicurezza	Prodotti in possesso di un certificato europeo di cibersicurezza con livello di affidabilità ≥ Sostanziale (Articolo 27(9))	Nessuna ulteriore valutazione di terze parti richiesta

Usa questo diagramma di flusso per identificare il tuo percorso:

flowchart TD
    A["Qual è la classe del tuo prodotto?"] --> B["Predefinito\n(non Allegato III/IV)"]
    A --> C["Classe I Importante\n(Allegato III)"]
    A --> D["Classe II Importante\n(Allegato III)"]
    A --> E["Critico\n(Allegato IV)"]
    B --> F["Modulo A, B+C o H\na tua scelta"]
    C --> G{"Norme, specifiche o schema\napplicati integralmente?"}
    G -->|Sì| H["Modulo A disponibile\noppure B+C / H"]
    G -->|No| I["Modulo B+C o H\nOrganismo notificato richiesto"]
    D --> J["Modulo B+C, H o uno schema di certificazione con livello sostanziale"]
    E --> K["Rotta di certificazione se applicabile
altrimenti rotte di terza parte"]

5. Norme applicate

Le norme armonizzate sono norme pubblicate nella Gazzetta Ufficiale dell'UE. Creano una presunzione di conformità per i requisiti che coprono. Includi il riferimento completo: numero, anno, titolo.

Formato:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Se non esistono norme armonizzate, indica: «Nessuna norma armonizzata applicata. Conformità dimostrata attraverso [descrivere l'approccio].»

Se durante la valutazione di conformità ci si è basati su un certificato europeo di cibersicurezza, indicalo con il nome dello schema e il numero di riferimento del certificato (così si copre il campo certificazione della dichiarazione).

6. Informazioni aggiuntive specifiche CRA

Questa sezione non fa parte del modello minimo, ma includerla migliora la trasparenza regolatoria:

• Periodo di supporto. Indica quando terminano gli aggiornamenti di sicurezza. Deve essere di almeno 5 anni dall'immissione sul mercato, oppure il periodo d'uso atteso se inferiore.
• Contatto vulnerabilità. Dove inviare le segnalazioni, con riferimento al file security.txt.

7. Firma

Chiunque sia autorizzato a impegnare giuridicamente il Fabbricante può firmare. In genere è il CEO, un consigliere, il responsabile qualità o il responsabile degli affari regolatori. La DoC deve riportare nome completo e titolo del firmatario, luogo e data (la data deve essere successiva al completamento della valutazione) e una firma autografa oppure una firma elettronica qualificata.

Quando va apposta la marcatura CE rispetto alla Dichiarazione di conformità?

Per i prodotti fisici, apponi la marcatura CE in modo visibile, leggibile e indelebile sul prodotto prima dell'immissione sul mercato.

Per i prodotti solo software, la marcatura CE va apposta direttamente sulla Dichiarazione UE di conformità, oppure sul sito web del prodotto in una sezione facilmente e direttamente accessibile agli utenti.

La DoC deve essere tradotta?

Sì. La DoC deve essere resa disponibile nella lingua o nelle lingue richieste da ciascuno Stato membro in cui il prodotto è immesso sul mercato.

In pratica:

• Vendita solo in Germania: serve una DoC in tedesco.
• Vendita in tutta l'UE: serviranno più versioni linguistiche.
• Conserva tutte le versioni linguistiche nel fascicolo tecnico.

La DoC semplificata e l'URL che punta alla DoC completa devono essere anch'essi nella lingua o nelle lingue richieste. L'URL stesso deve rimanere stabile e accessibile.

Ogni modello o versione del prodotto richiede una propria Dichiarazione di conformità?

Una DoC per tipo di prodotto

Ogni modello o tipo di prodotto distinto richiede in genere la propria DoC.

Una singola DoC può coprire più varianti quando sono varianti dello stesso tipo, la stessa valutazione di conformità si applica a tutte e sono state applicate le stesse norme.

Esempio:

Nome prodotto:  SmartSense Pro Industrial Sensor
Modello/Tipo:   SSP-3000 (tutte le varianti)
                - SSP-3000-WiFi
                - SSP-3000-LoRa
                - SSP-3000-Cellular

Quando una modifica richiede una nuova DoC?

Scenario	Nuova DoC richiesta?
Nuova versione hardware che incide sulle caratteristiche di sicurezza	Sì, modifica sostanziale
Aggiornamento firmware che introduce nuove interfacce o nuovi vettori di minaccia	Sì, profilo di rischio di cibersicurezza alterato
Aggiornamento firmware che modifica la destinazione d'uso del prodotto	Sì, modifica sostanziale
Patch di sicurezza (stessa architettura, nessun nuovo rischio, riduce CVE)	Caso per caso
Modifica alle norme armonizzate applicate o al certificato di valutazione di conformità	Sì
Modifica estetica, di sola documentazione o di localizzazione	No
Un terzo modifica sostanzialmente il prodotto e lo immette sul mercato	Sì, il terzo emette la nuova DoC come nuovo Fabbricante

Per i rilasci software iterativi che non sono modifiche sostanziali, la DoC esistente rimane valida. Devi essere in grado di dimostrarlo alle autorità di vigilanza del mercato, e l'aggiornamento della valutazione del rischio è il modo in cui lo dimostri.

Distribuzione della DoC

La DoC deve viaggiare con il prodotto. Puoi scegliere tra:

• la DoC completa, oppure
• una DoC semplificata che riporta l'esatto indirizzo internet in cui è pubblicata la DoC completa.

In entrambi i casi, la DoC va fornita anche su richiesta alle autorità di vigilanza del mercato e dovrebbe essere disponibile ai clienti su richiesta.

Dichiarazione UE di conformità semplificata

La forma semplificata è composta da due frasi: la dichiarazione del Fabbricante e un URL in cui si trova il documento completo. È particolarmente utile per le distribuzioni software, per l'hardware con vincoli di imballaggio e per qualsiasi prodotto la cui DoC completa sia pubblicata online.

Requisiti per l'URL: stabile (non modificarlo dopo la distribuzione dei prodotti), accessibile senza registrazione o login, e la pagina deve consentire il download o la stampa della DoC. La DoC completa deve comunque esistere nel fascicolo tecnico ed essere disponibile alle autorità su richiesta.

Errori comuni

Errore	Perché è importante	Correzione
Elementi richiesti mancanti (per esempio nessun modulo di valutazione di conformità indicato)	La DoC non è conforme	Usa la checklist prima di firmare; verifica ogni voce dell'Allegato V
L'entità sbagliata firma (l'Importatore o il Distributore firma al posto del Fabbricante)	La DoC è giuridicamente invalida	Solo il Fabbricante (una persona autorizzata a impegnarlo giuridicamente) può firmare; un importatore o distributore non può farlo a meno che non sia diventato fabbricante
Riferimenti a norme obsolete (norme ritirate o sostituite elencate)	Si perde la presunzione di conformità	Rivedi periodicamente le norme applicate; aggiorna la DoC quando le norme cambiano
Nessun controllo versione (esistono più versioni della DoC senza una versione corrente chiara)	Rischio in audit e enforcement	Assegna numeri di dichiarazione; archivia le versioni sostituite
Firma prima del completamento della valutazione (DoC datata prima della fine delle attività di conformità)	La DoC precede le evidenze su cui si basa	Completa prima tutte le attività di valutazione; la data della DoC deve essere successiva alla valutazione
Lingua sbagliata (DoC solo in inglese quando si vende in uno Stato membro non anglofono)	Non conforme per quel mercato	Traduci la DoC in ciascuna lingua richiesta dagli Stati membri di destinazione
Nessun aggiornamento dopo una modifica sostanziale (la DoC originale ancora in uso dopo un cambiamento sostanziale)	La DoC copre una versione per cui non è mai stata valutata	Emetti una nuova DoC ogni volta che si verifica una modifica sostanziale

Checklist di preparazione della DoC

Variazioni del modello di DoC

Per il Modulo A (autovalutazione)

Per il Modulo B+C (terze parti)

Per più regolamenti

Una DoC combinata unica è ammessa quando il prodotto è soggetto sia al CRA sia ad altra legislazione UE:

Requisiti di conservazione

Cosa conservare	Periodo di conservazione	Dove
DoC firmata (o copia autenticata)	10 anni dall'immissione sul mercato, oppure per la durata del periodo di supporto se più lungo	Fascicolo tecnico; accessibile alle autorità su richiesta
Storico delle versioni e DoC sostituite	Insieme alla DoC corrente	Fascicolo tecnico
Documentazione di supporto richiamata nella DoC	Insieme alla DoC	Fascicolo tecnico