Dichiarazione UE di conformità CRA: modello ed elementi

Ogni prodotto con elementi digitali necessita di una Dichiarazione UE di conformità prima di poter apporre legalmente la marcatura CE. La DoC è la dichiarazione formale con cui il fabbricante attesta che il prodotto soddisfa i requisiti del CRA. La responsabilità giuridica della sua accuratezza è del fabbricante.

Questa guida fornisce un modello completo e spiega ciascun elemento richiesto.

Che cos’è la Dichiarazione UE di conformità?

La Dichiarazione UE di conformità è un documento giuridico formale con cui il fabbricante dichiara che un prodotto è conforme alla normativa UE applicabile. È obbligatoria per tutti i prodotti con elementi digitali prima che possano portare la marcatura CE. Per i prodotti CRA, deve attestare che:

• il prodotto soddisfa i requisiti essenziali di cibersicurezza;
• la valutazione di conformità è stata completata;
• il fabbricante si assume la responsabilità giuridica.

Senza una DoC firmata, il prodotto non può portare la marcatura CE né essere legalmente immesso sul mercato UE.

Cosa richiede il CRA nella DoC?

La DoC va redatta prima dell’immissione sul mercato, mantenuta aggiornata quando il prodotto o il suo stato di conformità cambiano, tradotta nella lingua o nelle lingue richieste da ciascuno Stato membro in cui il prodotto è venduto, e conservata insieme alla documentazione tecnica per almeno dieci anni.

Elementi richiesti

#	Elemento	Cosa includere
1	Nome e tipo del prodotto	Nome, tipo e ogni altra informazione che consenta l’identificazione univoca del prodotto con elementi digitali.
2	Identificazione del fabbricante	Nome e indirizzo del fabbricante o del suo rappresentante autorizzato.
3	Dichiarazione di responsabilità esclusiva	Una dichiarazione secondo cui la dichiarazione di conformità è rilasciata sotto la responsabilità esclusiva del fornitore. Formulazione suggerita: «La presente dichiarazione di conformità è rilasciata sotto la responsabilità esclusiva del fornitore.» Il testo del CRA usa il termine «fornitore».
4	Oggetto della dichiarazione	Identificazione del prodotto che ne consenta la tracciabilità, che può includere una fotografia ove opportuno.
5	Attestazione di conformità	Una dichiarazione che l’oggetto è conforme alla pertinente normativa di armonizzazione dell’Unione, compreso il Regolamento (UE) 2024/2847 e ogni altro atto UE applicabile.
6	Norme e certificazioni applicate	Norme armonizzate, specifiche comuni o certificazioni di cibersicurezza su cui ci si è basati.
7	Dati dell’organismo notificato	Nome, numero, procedura di valutazione di conformità eseguita, riferimento del certificato. Richiesto solo quando è stato utilizzato un modulo di valutazione di terze parti.
8	Informazioni aggiuntive e firma	Luogo e data di emissione; nome, funzione e firma del firmatario (per esempio autografa o elettronica qualificata). Altre informazioni aggiuntive ove necessario.

Ogni riga corrisponde all’elemento numerato corrispondente nel modello di dichiarazione UE.

Modello completo di DoC

Lo usi come punto di partenza. Personalizzi i campi tra parentesi quadre per il suo prodotto.

Guida sezione per sezione

1. Identificazione del documento

Numero di dichiarazione. Non obbligatorio, ma fortemente consigliato per il controllo delle versioni. Un formato pratico è DoC-[CodiceProdotto]-[Anno]-[Sequenza], per esempio DoC-SSP3000-2027-001.

Data di emissione. La data in cui firma la dichiarazione. Deve essere successiva al completamento della valutazione di conformità.

2. Identificazione del fabbricante

Il firmatario è una persona autorizzata a impegnare giuridicamente il fabbricante. Il CRA non impone di per sé la nomina di un rappresentante autorizzato. Quando ne è nominato uno e il mandato specifica questi compiti, il rappresentante autorizzato può redigere e firmare la Dichiarazione UE di conformità e apporre la marcatura CE per conto del fabbricante e sotto la sua responsabilità. Il fabbricante resta giuridicamente responsabile della conformità del prodotto. Se agisce un rappresentante autorizzato, aggiunga una riga come:

Rappresentante autorizzato: [Nome, Indirizzo]
che agisce per conto di: [Nome del fabbricante, Indirizzo]

3. Identificazione del prodotto

Sia sufficientemente specifico ai fini della tracciabilità: includa i numeri di modello, le versioni hardware e software separate e l’ambito dei numeri di lotto o di serie.

Esempio:

Nome prodotto:     SmartSense Pro Industrial Sensor
Modello/Tipo:      SSP-3000
Vers. hardware:    Rev C (PCB v3.2)
Vers. software:    Firmware 2.4.1
Lotto/Serie:       Numeri di serie SSP3K-2027-XXXXXX

4. Valutazione di conformità

Il modulo da usare dipende dalla classificazione del suo prodotto. Usi questa tabella per orientarsi:

Modulo	Quando si applica	Organismo notificato?
Modulo A (Controllo interno della produzione)	Prodotti predefiniti; prodotti importanti di classe I quando le norme, le specifiche o lo schema pertinenti si applicano integralmente	No
Modulo B+C (Esame UE del tipo)	Disponibile per tutti i prodotti; opzione obbligatoria per i prodotti importanti di classe I quando non si applicano integralmente; una delle rotte per i prodotti importanti di classe II e opzione di riserva per i prodotti critici	Sì
Modulo H (Garanzia qualità totale)	Tutti i prodotti; alternativa al Modulo B+C per i prodotti importanti di classe I e di classe II	Sì
EUCC / schema di cibersicurezza	Dove è disponibile uno schema europeo di certificazione della cibersicurezza applicabile, un certificato con livello di affidabilità ≥ Sostanziale	Elimina l’obbligo di valutazione di terze parti, ma solo per i requisiti coperti dal certificato
Software libero e open source	Prodotti idonei di software libero e open source tra i prodotti importanti di classe I e II	Può utilizzare qualsiasi rotta tra Modulo A/B+C/H, incluso il Modulo A, se la documentazione tecnica è pubblica al momento dell’immissione sul mercato

Usi questo diagramma di flusso per identificare il suo percorso:

flowchart TD
    A["Qual è la classe del suo prodotto?"] --> B["Predefinito
(non elencato)"]
    A --> C["Prodotto importante
di classe I (elencato)"]
    A --> D["Prodotto importante
di classe II (elencato)"]
    A --> E["Critico
(elenco critico)"]
    B --> F["Modulo A, B+C o H
a sua scelta"]
    C --> G{"Norme, specifiche o schema
applicati integralmente?"}
    G -->|Sì| H["Modulo A disponibile
oppure B+C / H"]
    G -->|No| I["Modulo B+C o H
Organismo notificato richiesto"]
    D --> J["Modulo B+C, H, o uno schema di certificazione con livello sostanziale"]
    E --> K["Rotta di certificazione se applicabile
altrimenti rotte di terza parte"]

5. Norme applicate

Le norme armonizzate sono norme pubblicate nella Gazzetta ufficiale dell’UE. Creano una presunzione di conformità per i requisiti che coprono. Includa il riferimento completo: numero, anno, titolo.

Formato:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Se non esistono norme armonizzate, indichi: «Nessuna norma armonizzata applicata. Conformità dimostrata tramite [descrivere l’approccio].»

Se durante la valutazione di conformità ci si è basati su un certificato europeo di cibersicurezza, lo elenchi con il nome dello schema e il numero di riferimento del certificato (questo copre il campo certificazione della dichiarazione).

6. Informazioni aggiuntive specifiche del CRA

Questa sezione non fa parte del modello minimo di dichiarazione, ma includerla migliora la trasparenza regolatoria:

• Periodo di assistenza. Indichi quando terminano gli aggiornamenti di sicurezza. Deve essere di almeno 5 anni dall’immissione sul mercato, oppure il periodo d’uso previsto se inferiore.
• Contatto vulnerabilità. Dove inviare le segnalazioni, con un riferimento al proprio file security.txt.

7. Firma

Può firmare chiunque sia autorizzato a impegnare giuridicamente il fabbricante. Tipicamente si tratta dell’amministratore delegato, di un consigliere, del responsabile qualità o del responsabile affari regolatori. La DoC deve riportare nome completo e titolo del firmatario, luogo e data (la data deve essere successiva al completamento della valutazione) e una firma, per esempio autografa o elettronica qualificata.

Quando apporre la marcatura CE rispetto alla DoC?

Per i prodotti fisici, apponga la marcatura CE in modo visibile, leggibile e indelebile sul prodotto prima della sua immissione sul mercato. Dove ciò non sia possibile o non sia giustificato dalla natura del prodotto, la apponga invece sull’imballaggio e sulla Dichiarazione UE di conformità.

Per i prodotti solo software, la marcatura CE va apposta direttamente sulla Dichiarazione UE di conformità, oppure sul sito web del prodotto, in una sezione facilmente e direttamente accessibile ai consumatori.

Quando è coinvolto un organismo notificato nel Modulo H, la marcatura CE deve essere seguita dal numero di identificazione di tale organismo.

La DoC deve essere tradotta?

Sì. La DoC deve essere resa disponibile nella lingua o nelle lingue richieste da ciascuno Stato membro in cui il prodotto è immesso sul mercato.

In pratica:

• Vendita solo in Germania: serve una DoC in tedesco.
• Vendita in tutta l’UE: serviranno più versioni linguistiche.
• Conservi tutte le versioni linguistiche nella documentazione tecnica.

Anche la DoC semplificata e l’URL che rimanda alla DoC completa devono essere nella lingua o nelle lingue richieste. Mantenere l’URL stabile e accessibile è buona prassi.

Serve una DoC per ogni modello o versione?

Una DoC per tipo di prodotto

Ogni modello o tipo di prodotto distinto necessita in genere di una propria DoC.

Una singola DoC può coprire più varianti quando sono varianti dello stesso tipo, si applica a tutte la stessa valutazione di conformità e sono state applicate le stesse norme.

Esempio:

Nome prodotto:  SmartSense Pro Industrial Sensor
Modello/Tipo:   SSP-3000 (tutte le varianti)
                - SSP-3000-WiFi
                - SSP-3000-LoRa
                - SSP-3000-Cellular

Quando una modifica richiede una nuova DoC?

La tabella seguente mostra gli esiti tipici. Applichi il test normativo sopra descritto, invece di considerare automatico un singolo fattore scatenante.

Scenario	Nuova DoC richiesta?
Nuova versione hardware che incide sulla conformità ai requisiti essenziali	Sì, modifica sostanziale
Aggiornamento firmware che amplia la superficie di attacco o aumenta il rischio di cibersicurezza	Sì, modifica sostanziale
Aggiornamento firmware che modifica la destinazione d’uso del prodotto	Sì, modifica sostanziale
Patch di sicurezza (stessa architettura, nessun nuovo rischio, riduce le CVE)	Caso per caso
Modifica alle norme armonizzate applicate o al certificato di valutazione di conformità	Caso per caso, solo se riflette un cambiamento che incide sui requisiti essenziali o sulla destinazione d’uso valutata
Modifica estetica, di sola documentazione o di localizzazione	No
Un terzo modifica sostanzialmente il prodotto e lo mette a disposizione sul mercato	Sì, il terzo emette la nuova DoC come nuovo fabbricante

Per i rilasci software iterativi che non sono modifiche sostanziali, la DoC esistente resta valida. Deve essere in grado di dimostrarlo alle autorità di vigilanza del mercato, e l’aggiornamento della valutazione del rischio è lo strumento con cui farlo.

Distribuzione della DoC

La DoC deve accompagnare il prodotto. Può scegliere tra:

• la DoC completa, oppure
• una DoC semplificata che riporta l’indirizzo internet esatto in cui è pubblicata la DoC completa.

Entrambe le forme vanno inoltre fornite su richiesta alle autorità di vigilanza del mercato, e dovrebbero essere disponibili ai clienti su richiesta.

Dichiarazione UE di conformità semplificata

La forma semplificata consiste in due frasi: la dichiarazione del fabbricante e un URL dove è possibile trovare il documento completo. È particolarmente utile per le distribuzioni software, per l’hardware con vincoli di imballaggio e per qualsiasi prodotto la cui DoC completa sia pubblicata online.

L’URL: il CRA richiede solo che la DoC semplificata riporti l’indirizzo internet esatto in cui è possibile accedere alla DoC completa. Come buona prassi operativa, mantenga l’URL stabile (non lo modifichi dopo la distribuzione dei prodotti), accessibile senza registrazione o login, e scaricabile o stampabile. La DoC completa deve comunque esistere nella documentazione tecnica ed essere disponibile alle autorità su richiesta.

Errori comuni

Errore	Perché è importante	Correzione
Elementi obbligatori mancanti (per esempio nessuna attestazione di conformità, o dati dell’organismo notificato mancanti quando ne è stato coinvolto uno)	La DoC non è conforme	Usi la checklist prima di firmare; verifichi ogni elemento richiesto della dichiarazione
Firma il soggetto sbagliato (l’importatore o il distributore firma al posto del fabbricante)	La DoC è giuridicamente invalida	Firma una persona autorizzata a impegnare il fabbricante, oppure un rappresentante autorizzato. Un importatore o un distributore non può farlo, a meno che non sia diventato il fabbricante
Riferimenti a norme obsolete (norme ritirate o sostituite ancora elencate)	Si perde la presunzione di conformità	Riveda periodicamente le norme applicate; aggiorni la DoC quando le norme cambiano
Nessun controllo delle versioni (esistono più versioni della DoC senza una versione corrente chiara)	Rischio in sede di verifica e applicazione delle norme	Assegni numeri di dichiarazione; archivi le versioni sostituite
Firma prima del completamento della valutazione (DoC datata prima della fine delle attività di valutazione)	La DoC precede le evidenze su cui si basa	Completi prima tutte le attività di valutazione; la data della DoC deve essere successiva alla valutazione
Lingua sbagliata (DoC solo in inglese quando si vende in uno Stato membro non anglofono)	Non conforme per quel mercato	Traduca la DoC in ciascuna lingua richiesta dagli Stati membri di destinazione
Nessun aggiornamento dopo una modifica sostanziale (la DoC originale ancora in uso dopo un cambiamento sostanziale)	La DoC copre una versione che non è mai stata valutata	Emetta una nuova DoC ogni volta che si verifica una modifica sostanziale

Checklist di preparazione della DoC

Variazioni del modello di DoC

Per il Modulo A (autovalutazione)

Per il Modulo B+C (terze parti)

Per più regolamenti

È richiesta un’unica DoC combinata quando un prodotto è soggetto sia al CRA sia ad altra normativa UE che a sua volta richiede una dichiarazione di conformità. Deve identificare ciascun atto, compreso il relativo riferimento di pubblicazione:

Requisiti di conservazione

Cosa conservare	Periodo di conservazione	Dove
DoC firmata (o copia autenticata)	10 anni dall’immissione sul mercato, oppure per la durata del periodo di assistenza se più lungo	Documentazione tecnica; accessibile alle autorità su richiesta
Storico delle versioni e DoC sostituite	Insieme alla DoC corrente	Documentazione tecnica
Documentazione di supporto richiamata nella DoC	Insieme alla DoC	Documentazione tecnica