Deklaracja Zgodności UE CRA: Szablon i Przewodnik Pisania Krok po Kroku

Każdy produkt z elementami cyfrowymi wymaga Deklaracji Zgodności UE zanim będzie mógł legalnie nosić oznakowanie CE. DoC jest Twoim formalnym oświadczeniem, że produkt spełnia wymagania CRA. Ponosisz prawną odpowiedzialność za jej dokładność. Niniejszy przewodnik zapewnia kompletny szablon i wyjaśnia każdy wymagany element.

Czym jest Deklaracja Zgodności UE?

Deklaracja Zgodności UE to formalny dokument prawny, w którym producent deklaruje, że produkt jest zgodny z obowiązującym prawodawstwem UE. Jest obowiązkowa dla wszystkich produktów z elementami cyfrowymi, zanim będą mogły legalnie nosić oznakowanie CE. Dla produktów CRA musi stwierdzać, że:

• Produkt spełnia zasadnicze wymagania cyberbezpieczeństwa (Załącznik I)
• Ocena zgodności została przeprowadzona
• Producent ponosi odpowiedzialność prawną

Bez podpisanej DoC Twój produkt nie może nosić oznakowania CE i nie może być legalnie wprowadzony na rynek UE.

Czego Wymaga CRA w DoC?

Podstawa Prawna

Art. 28 CRA określa wymagania DoC, odwołując się do struktury w Załączniku V. DoC musi być:

• Sporządzona przed wprowadzeniem produktu na rynek (Art. 13(12))
• Aktualizowana w stosownych przypadkach, gdy zmienia się produkt lub status zgodności (Art. 28(2))
• Dostarczona w językach wymaganych przez każde Państwo Członkowskie, w którym produkt jest wprowadzany na rynek (Art. 28(2))
• Przechowywana przez co najmniej 10 lat od wprowadzenia na rynek lub przez okres wsparcia, w zależności od tego, co jest dłuższe (Art. 13(13))

Wymagane Elementy

Kompletny Szablon DoC

Użyj tego szablonu jako punktu wyjścia. Dostosuj sekcje w nawiasach do swojego produktu.

═══════════════════════════════════════════════════════════════
             DEKLARACJA ZGODNOŚCI UE
               (Cyber Resilience Act)
═══════════════════════════════════════════════════════════════

Numer deklaracji:  [DoC-PRODUKT-RRRR-NNN]
Data wydania:      [DD miesiąc RRRR]

───────────────────────────────────────────────────────────────
1. PRODUCENT
───────────────────────────────────────────────────────────────

Nazwa:              [Pełna nazwa prawna firmy]
Adres:              [Ulica i numer]
                    [Kod pocztowy, Miejscowość]
                    [Kraj]
Kontakt:            [E-mail / Telefon]
Strona internetowa: [URL]

───────────────────────────────────────────────────────────────
2. IDENTYFIKACJA PRODUKTU
───────────────────────────────────────────────────────────────

Nazwa produktu:    [Nazwa produktu]
Model/Typ:         [Numer modelu / Oznaczenie typu]
Wersja sprzętowa:  [Wersja sprzętowa, jeśli dotyczy]
Wersja programowa: [Wersja oprogramowania/firmware]
Partia/Seria:      [Zakres numerów partii lub format numeru seryjnego]
Zdjęcie produktu:  [Opcjonalne zdjęcie dla identyfikowalności, tam gdzie stosowne]

Opis produktu:
[Krótki opis produktu i jego przeznaczenia,
wystarczający do jednoznacznej identyfikacji produktu]

───────────────────────────────────────────────────────────────
3. DEKLARACJA
───────────────────────────────────────────────────────────────

Niniejsza deklaracja zgodności UE wydana jest na wyłączną
odpowiedzialność dostawcy.

Opisany powyżej przedmiot deklaracji jest zgodny z
odpowiednim prawodawstwem harmonizacyjnym Unii:

    • Rozporządzenie (UE) 2024/2847 Parlamentu Europejskiego
      i Rady z dnia 23 października 2024 r. w sprawie
      horyzontalnych wymagań cyberbezpieczeństwa dla
      produktów z elementami cyfrowymi (Cyber Resilience Act)

    [• Inne obowiązujące prawodawstwo, np.:
    • Dyrektywa 2014/53/UE (Dyrektywa o Urządzeniach Radiowych)
    • Rozporządzenie (UE) 2023/1230 (Rozporządzenie w sprawie maszyn)
    • itp.]

───────────────────────────────────────────────────────────────
4. OCENA ZGODNOŚCI
───────────────────────────────────────────────────────────────

Zastosowana procedura oceny zgodności:

    [Proszę wybrać:]

    ☐ Moduł A (Wewnętrzna Kontrola Produkcji)
      Na podstawie Załącznika VIII Rozporządzenia (UE) 2024/2847

    ☐ Moduł B + C (Badanie Typu UE + Zgodność z Typem)
      Na podstawie Załącznika VIII Rozporządzenia (UE) 2024/2847
      Jednostka Notyfikowana: [Nazwa], Nr [XXXX]
      Certyfikat Badania Typu UE: [Numer certyfikatu]
      Data: [Data certyfikatu]

    ☐ Moduł H (Pełne Zapewnienie Jakości)
      Na podstawie Załącznika VIII Rozporządzenia (UE) 2024/2847
      Jednostka Notyfikowana: [Nazwa], Nr [XXXX]
      Certyfikat Systemu Zapewnienia Jakości: [Numer certyfikatu]
      Data: [Data certyfikatu]

    ☐ Europejski System Certyfikacji Cyberbezpieczeństwa (Art. 27(9))
      Certyfikat wydany w ramach systemu przyjętego zgodnie z
      Rozporządzeniem (UE) 2019/881 (Ustawa o cyberbezpieczeństwie)
      Nazwa systemu: [Nazwa]
      Numer certyfikatu: [Numer]
      Poziom uzasadnionego zaufania: [Znaczny / Wysoki]

───────────────────────────────────────────────────────────────
5. ZASTOSOWANE NORMY I SPECYFIKACJE
───────────────────────────────────────────────────────────────

Zastosowane normy zharmonizowane:
[Wymienić wszystkie zastosowane normy zharmonizowane z pełnymi odnośnikami]

    • EN [XXXXX]:20XX - [Tytuł normy]
    • EN [XXXXX]:20XX - [Tytuł normy]

Inne zastosowane specyfikacje techniczne:
[Wymienić inne zastosowane normy lub specyfikacje]

    • ISO/IEC [XXXXX]:20XX - [Tytuł normy]
    • [Inne specyfikacje]

Zastosowane certyfikacje cyberbezpieczeństwa (jeśli dotyczy):
[Wymienić europejskie certyfikaty cyberbezpieczeństwa zgodnie z Załącznikiem V, pkt 6]

    • [Nazwa systemu - Numer referencyjny certyfikatu]

───────────────────────────────────────────────────────────────
6. INFORMACJE DODATKOWE (Specyficzne dla CRA)
───────────────────────────────────────────────────────────────

Okres Wsparcia:
Aktualizacje bezpieczeństwa będą dostarczane do: [DD miesiąc RRRR]
(Minimum 5 lat od daty wprowadzenia na rynek)

Pierwsze wprowadzenie na rynek UE: [DD miesiąc RRRR]

Kontakt ds. Cyberbezpieczeństwa:
W sprawie zgłoszeń podatności i zapytań dotyczących bezpieczeństwa:
    E-mail:       [security@firma.com]
    Strona:       [https://firma.com/security]
    security.txt: [https://firma.com/.well-known/security.txt]

Dokumentacja Techniczna:
Dokumentacja techniczna jest dostępna na żądanie dla
właściwych organów pod adresem wskazanym powyżej.

───────────────────────────────────────────────────────────────
7. PODPIS
───────────────────────────────────────────────────────────────

Podpisano w imieniu:

[Pełna nazwa prawna firmy]


_________________________________
[Imię i nazwisko]
[Tytuł/Funkcja]

Miejsce: [Miejscowość, Kraj]
Data:    [DD miesiąc RRRR]

═══════════════════════════════════════════════════════════════
                   KONIEC DEKLARACJI
═══════════════════════════════════════════════════════════════

Przewodnik Sekcja po Sekcji

1. Identyfikacja Dokumentu

Numer Deklaracji: Nie wymagany przez Załącznik V, ale zdecydowanie zalecany. Zalecany format: DoC-[KodProduktu]-[Rok]-[Sekwencja]. Przykład: DoC-SSP3000-2027-001

Data Wydania: Data podpisania deklaracji. Musi być po zakończeniu oceny zgodności.

2. Identyfikacja Producenta

Kto podpisuje DoC?

• Producent: podmiot, który zaprojektował, wytworzył lub wprowadza produkt na rynek pod własną nazwą
• LUB upoważniony przedstawiciel z siedzibą w UE, działający na podstawie pisemnego upoważnienia

Jeśli producent nie ma siedziby w UE, wyznaczenie upoważnionego przedstawiciela jest wymagane. Dodaj:

Upoważniony Przedstawiciel: [Nazwa, Adres]
działający w imieniu: [Nazwa Producenta, Adres]

3. Identyfikacja Produktu

Bądź wystarczająco szczegółowy dla identyfikowalności:

• Podawaj numery modeli, nie tylko nazwy produktów
• Określaj numery wersji dla sprzętu i oprogramowania osobno
• Wskaż zakres numerów partii lub seryjnych

Przykład:

Nazwa produktu:     SmartSense Pro Industrial Sensor
Model/Typ:          SSP-3000
Wersja sprzętowa:   Rev C (PCB v3.2)
Wersja programowa:  Firmware 2.4.1
Partia/Seria:       Numery seryjne SSP3K-2027-XXXXXX

4. Ocena Zgodności

To, którego modułu musisz użyć, zależy od klasyfikacji Twojego produktu. Skorzystaj z tej tabeli, aby się zorientować:

Skorzystaj z tego schematu blokowego, aby zidentyfikować swoją ścieżkę:

flowchart TD
    A["Jaka jest klasa Twojego produktu?"] --> B["Domyślna\n(nie Załącznik III/IV)"]
    A --> C["Klasa I\n(Załącznik III)"]
    A --> D["Klasa II\n(Załącznik III)"]
    A --> E["Krytyczna\n(Załącznik IV)"]
    B --> F["Moduł A, B+C lub H\nTwój wybór"]
    C --> G{"Normy zharmonizowane\nw pełni zastosowane?"}
    G -->|Tak| H["Moduł A dostępny\nlub B+C / H"]
    G -->|Nie| I["Moduł B+C lub H\nJednostka Notyfikowana wymagana"]
    D --> J["Moduł B+C lub H\nJednostka Notyfikowana wymagana"]
    E --> K["Badanie typu UE\nwyspecjalizowana Jednostka Notyfikowana"]

5. Zastosowane Normy

Normy Zharmonizowane: Publikowane w Dzienniku Urzędowym UE; tworzą domniemanie zgodności; podawaj pełne odnośniki (numer, rok, tytuł).

Format:

EN 303 645:2020 - Cyberbezpieczeństwo dla Internetu Rzeczy dla konsumentów: Wymagania podstawowe

Jeśli nie istnieją normy zharmonizowane: Podaj: „Nie zastosowano norm zharmonizowanych. Zgodność wykazana przez [opisz podejście]."

Certyfikacje Cyberbezpieczeństwa (Załącznik V, pkt 6): Jeśli podczas oceny zgodności korzystano z europejskiego certyfikatu cyberbezpieczeństwa, wymień go tutaj podając nazwę systemu i numer referencyjny certyfikatu.

6. Dodatkowe Informacje Specyficzne dla CRA

Ta sekcja nie jest wymagana przez Załącznik V, ale jej uwzględnienie poprawia przejrzystość regulacyjną:

Okres Wsparcia: Podaj, kiedy kończą się aktualizacje bezpieczeństwa. Musi wynosić co najmniej 5 lat od wprowadzenia na rynek (Art. 13(8)).

Kontakt ds. Cyberbezpieczeństwa: Gdzie należy przesyłać zgłoszenia podatności, w tym odnośnik do pliku security.txt.

7. Podpis

Kto może podpisać: Osoba upoważniona do prawnego zobowiązania producenta. Typowo: CEO, Dyrektor, Kierownik Jakości lub Kierownik Spraw Regulacyjnych.

Wymagania: Pełne imię i nazwisko oraz tytuł/funkcja; miejsce i data (data musi być po zakończeniu oceny); podpis odręczny lub kwalifikowany elektroniczny.

Kiedy należy nanieść oznakowanie CE w stosunku do Deklaracji Zgodności?

W przypadku produktów fizycznych umieść oznakowanie CE widocznie, czytelnie i trwale na produkcie przed wprowadzeniem go na rynek (Art. 30(1)).

W przypadku produktów wyłącznie programowych (Art. 30(3)) oznakowanie CE umieszcza się:

• Bezpośrednio na Deklaracji Zgodności UE, lub
• Na stronie internetowej produktu, w sekcji łatwo i bezpośrednio dostępnej dla użytkowników

Czy DoC Wymaga Tłumaczenia?

Tak. Art. 28(2) wymaga, aby DoC była udostępniana w językach wymaganych przez każde Państwo Członkowskie, w którym produkt jest wprowadzany na rynek.

W praktyce:

• Sprzedaż wyłącznie w Niemczech → wymagana jest DoC w języku niemieckim
• Sprzedaż w całej UE → konieczne będzie przygotowanie wersji w wielu językach
• Wszystkie wersje językowe należy przechowywać w pliku technicznym

Uproszczona deklaracja zgodności UE (Załącznik VI) oraz adres URL wskazujący na pełną DoC muszą być również dostępne w wymaganych językach. Sam adres URL musi pozostać stabilny i dostępny.

Czy każdy model lub wersja produktu wymaga własnej Deklaracji Zgodności?

Jedna DoC na Typ Produktu

Każdy odrębny model lub typ produktu wymaga generalnie własnej DoC.

Można objąć jedną DoC, gdy:

• Produkty są wariantami tego samego typu
• Ta sama ocena zgodności ma zastosowanie do wszystkich wariantów
• Zastosowano te same normy

Przykład:

Nazwa produktu:  SmartSense Pro Industrial Sensor
Model/Typ:       SSP-3000 (wszystkie warianty)
                 - SSP-3000-WiFi
                 - SSP-3000-LoRa
                 - SSP-3000-Cellular

Kiedy Modyfikacja Wymaga Nowej DoC?

W przypadku iteracyjnych wydań oprogramowania przez producenta: jeśli aktualizacja nie stanowi istotnej modyfikacji, istniejąca DoC pozostaje ważna. Musisz być w stanie wykazać to organom nadzoru rynku. Przeprowadzenie oceny ryzyka cyberbezpieczeństwa zgodnie z Art. 13(2) jest wyraźnym mechanizmem zalecanym w tym celu przez wytyczne.

Dystrybucja DoC

Z produktem (Art. 13(20)): Art. 13(20) wymaga dostarczenia:

• Pełnej DoC z Załącznika V, lub
• Uproszczonej deklaracji zgodności UE zawierającej dokładny adres internetowy, pod którym można znaleźć pełną DoC

Nie ma obowiązku dołączania obu dokumentów.

Na żądanie:

• Musi być dostarczona organom nadzoru rynku
• Powinna być dostarczona klientom na żądanie

Uproszczona Deklaracja Zgodności UE

Art. 13(20) umożliwia producentom dostarczenie z produktem uproszczonej deklaracji zgodności UE zamiast pełnego dokumentu z Załącznika V. Forma uproszczona jest zdefiniowana w Załączniku VI i składa się z dokładnie dwóch zdań:

Niniejszym [nazwa producenta] oświadcza, że produkt z elementami cyfrowymi
typu [oznaczenie] jest zgodny z Rozporządzeniem (UE) 2024/2847.

Pełny tekst deklaracji zgodności UE jest dostępny pod następującym adresem
internetowym: [URL]

Jest to szczególnie przydatne w przypadku:

• Produktów programowych, gdzie dołączanie pełnego dokumentu prawnego do każdej dystrybucji jest niepraktyczne
• Produktów sprzętowych z ograniczoną przestrzenią na opakowaniu
• Każdego produktu, którego pełna DoC jest dostępna online

Wymagania:

• Pełna DoC z Załącznika V musi istnieć i być publicznie dostępna pod wskazanym adresem URL
• Uproszczona deklaracja musi zawierać adres URL (Art. 13(20))
• Pełna DoC pozostaje obowiązkowa w pliku technicznym i dla żądań organów

Dobre praktyki dotyczące adresu URL:

• Używaj stabilnego adresu URL. Nie zmieniaj go po wprowadzeniu produktów do dystrybucji
• Dostępny bez rejestracji lub logowania
• Strona powinna umożliwiać pobranie lub wydrukowanie DoC

Częste Błędy

Lista Kontrolna Przygotowania DoC

Przed Sporządzeniem

Zawartość Dokumentu

Podpis

Dystrybucja

Warianty Szablonu DoC

Dla Modułu A (Samoocena)

4. OCENA ZGODNOŚCI

Zastosowana procedura oceny zgodności:

    ☑ Moduł A (Wewnętrzna Kontrola Produkcji)
      Na podstawie Załącznika VIII Rozporządzenia (UE) 2024/2847

      Producent zweryfikował, że produkt spełnia wymagania
      zasadnicze poprzez wewnętrzną ocenę udokumentowaną
      w pliku technicznym.

Dla Modułu B+C (Strona Trzecia)

4. OCENA ZGODNOŚCI

Zastosowana procedura oceny zgodności:

    ☑ Moduł B + C (Badanie Typu UE + Zgodność z Typem)
      Na podstawie Załącznika VIII Rozporządzenia (UE) 2024/2847

      Badanie Typu UE wykonane przez:
      Jednostka Notyfikowana: TÜV Rheinland LGA Products GmbH
      Numer Jednostki Notyfikowanej: 0197
      Numer Certyfikatu: EU-TYPE-2027-12345
      Data Certyfikatu: 15 stycznia 2027

      Producent zapewnia zgodność produkcji z certyfikowanym
      typem (Moduł C) poprzez wewnętrzne kontrole produkcji.

Dla Wielu Rozporządzeń (Art. 28(3))

Gdy produkt podlega zarówno CRA jak i innym prawodawstwu UE, dopuszczalna jest jedna łączona DoC na podstawie Art. 28(3):

3. DEKLARACJA

Przedmiot deklaracji opisany powyżej jest zgodny z odpowiednim
prawodawstwem harmonizacyjnym Unii:

    • Rozporządzenie (UE) 2024/2847 (Cyber Resilience Act)

    • Dyrektywa 2014/53/UE (Dyrektywa o Urządzeniach Radiowych)
      Jednostka Notyfikowana: [Nazwa], Nr [XXXX]
      Certyfikat: [Numer]

    • Dyrektywa 2014/35/UE (Dyrektywa Niskonapięciowa)

Wymagania Przechowywania

Kolejne kroki

1. Sklasyfikuj produkt (Domyślny, Ważny Klasy I/II lub Krytyczny) korzystając z Przewodnika klasyfikacji produktów CRA.
2. Potwierdź moduł oceny zgodności za pomocą Przewodnika decyzyjnego oceny zgodności CRA.
3. Zakończ ocenę zgodności i zbierz wszystkie raporty z testów przed sporządzeniem DoC.
4. Sporządź DoC na podstawie powyższego szablonu. Przypisz numer deklaracji i zweryfikuj każdy element z Załącznika V.
5. Przetłumacz DoC na języki wymagane przez każde Państwo Członkowskie, w którym produkt jest wprowadzany na rynek (Art. 28(2)).
6. Podpisz i datuj dokument po zakończeniu oceny. Nanieś oznakowanie CE przed wprowadzeniem na rynek.
7. Złóż podpisaną DoC w pliku technicznym wraz z raportami z testów i SBOM. Zobacz Kompletny przewodnik po dokumentacji technicznej CRA (Załącznik VII).
8. Opublikuj pełną DoC pod stabilnym adresem URL, jeśli planujesz dostarczać z produktem uproszczoną formę z Załącznika VI.
9. Przechowuj DoC przez co najmniej 10 lat od wprowadzenia na rynek lub przez okres wsparcia, w zależności od tego, co jest dłuższe (Art. 13(13)).

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania konkretnych wskazówek dotyczących zgodności skonsultuj się z wykwalifikowanym doradcą prawnym.