Deklaracja zgodności UE w CRA: szablon i elementy

Każdy produkt z elementami cyfrowymi wymaga Deklaracji zgodności UE, zanim będzie mógł legalnie nosić oznakowanie CE. DoC to formalne oświadczenie, że produkt spełnia wymagania CRA. Producent ponosi prawną odpowiedzialność za jej rzetelność.

Ten przewodnik zawiera kompletny szablon i wyjaśnia każdy wymagany element.

Czym jest Deklaracja zgodności UE?

Deklaracja zgodności UE to formalny dokument prawny, w którym producent oświadcza, że produkt jest zgodny z obowiązującymi przepisami UE. Jest obowiązkowa dla wszystkich produktów z elementami cyfrowymi, zanim będą mogły nosić oznakowanie CE. W przypadku produktów CRA musi potwierdzać, że:

• produkt spełnia zasadnicze wymagania cyberbezpieczeństwa,
• ocena zgodności została ukończona,
• producent ponosi odpowiedzialność prawną.

Bez podpisanej DoC produkt nie może nosić oznakowania CE i nie może zostać legalnie wprowadzony do obrotu na rynku UE.

Czego CRA wymaga w DoC?

DoC musi być sporządzona przed wprowadzeniem do obrotu, aktualizowana w miarę zmian produktu lub jego statusu zgodności, przetłumaczona na języki wymagane przez każde państwo członkowskie, w którym produkt jest sprzedawany, i przechowywana wraz z dokumentacją techniczną przez co najmniej dziesięć lat.

Wymagane elementy

#	Element	Co uwzględnić
1	Nazwa i typ produktu	Nazwa, typ oraz wszelkie dodatkowe informacje umożliwiające jednoznaczną identyfikację produktu z elementami cyfrowymi.
2	Identyfikacja producenta	Nazwa i adres producenta lub jego upoważnionego przedstawiciela.
3	Oświadczenie o wyłącznej odpowiedzialności	Oświadczenie, że deklarację wydaje się na wyłączną odpowiedzialność dostawcy. Sugerowane sformułowanie: „Niniejszą deklarację zgodności wydaje się na wyłączną odpowiedzialność dostawcy." Tekst CRA posługuje się pojęciem „dostawca".
4	Przedmiot deklaracji	Identyfikacja produktu umożliwiająca identyfikowalność, w stosownych przypadkach z fotografią.
5	Oświadczenie o zgodności	Oświadczenie, że przedmiot deklaracji jest zgodny z odpowiednim prawodawstwem harmonizacyjnym Unii, w tym z Rozporządzeniem (UE) 2024/2847 oraz każdym innym mającym zastosowanie aktem UE.
6	Zastosowane normy i certyfikacje	Zastosowane normy zharmonizowane, wspólne specyfikacje lub certyfikacje cyberbezpieczeństwa.
7	Dane jednostki notyfikowanej	Nazwa, numer, przeprowadzona procedura oceny zgodności, numer referencyjny certyfikatu. Wymagane tylko wtedy, gdy zastosowano moduł oceny zewnętrznej.
8	Informacje dodatkowe i podpis	Miejsce i data wystawienia; imię i nazwisko sygnatariusza, funkcja i podpis (na przykład odręczny lub kwalifikowany podpis elektroniczny). Inne informacje dodatkowe według potrzeby.

Każdy wiersz odpowiada odpowiednio numerowanej pozycji w szablonie deklaracji zgodności UE.

Kompletny szablon DoC

Wykorzystaj go jako punkt wyjścia. Dostosuj pola w nawiasach kwadratowych do swojego produktu.

Przewodnik sekcja po sekcji

1. Identyfikacja dokumentu

Numer deklaracji. Nieobowiązkowy, ale zdecydowanie zalecany do kontroli wersji. Praktyczny format to DoC-[KodProduktu]-[Rok]-[Sekwencja], na przykład DoC-SSP3000-2027-001.

Data wystawienia. Data podpisania deklaracji. Musi przypadać po ukończeniu oceny zgodności.

2. Identyfikacja producenta

Sygnatariuszem jest osoba upoważniona do prawnego zobowiązania producenta. CRA samo w sobie nie wymaga ustanowienia upoważnionego przedstawiciela. Tam, gdzie producent go ustanowił i jego pełnomocnictwo obejmuje te zadania, upoważniony przedstawiciel może sporządzić i podpisać Deklarację zgodności UE oraz umieścić oznakowanie CE w imieniu producenta i na jego odpowiedzialność. Producent pozostaje prawnie odpowiedzialny za zgodność produktu. Jeśli działa upoważniony przedstawiciel, dodaj wiersz w rodzaju:

Upoważniony przedstawiciel: [Nazwa, adres]
działający w imieniu: [Nazwa producenta, adres]

3. Identyfikacja produktu

Bądź na tyle szczegółowy, by zapewnić identyfikowalność: podaj numery modeli, oddzielnie wersje sprzętu i oprogramowania oraz zakres partii lub numerów seryjnych.

Przykład:

Nazwa produktu:    SmartSense Pro Industrial Sensor
Model/Typ:         SSP-3000
Wersja sprzętowa:  Rev C (PCB v3.2)
Wersja programowa: Firmware 2.4.1
Partia/Numer ser.: Numery seryjne SSP3K-2027-XXXXXX

4. Ocena zgodności

To, którego modułu trzeba użyć, zależy od klasyfikacji produktu. Skorzystaj z tej tabeli, aby się zorientować:

Moduł	Kiedy ma zastosowanie	Jednostka notyfikowana?
Moduł A (wewnętrzna kontrola produkcji)	Produkty domyślne; ważne produkty klasy I, gdy odpowiednie normy, specyfikacje lub program w pełni się stosują	Nie
Moduł B+C (badanie typu UE)	Dostępny dla wszystkich produktów; wymagana opcja dla ważnych produktów klasy I, gdy normy, specyfikacje lub program nie stosują się w pełni; jedna ze ścieżek dla ważnych produktów klasy II i ścieżka awaryjna dla produktów krytycznych	Tak
Moduł H (pełne zapewnienie jakości)	Wszystkie produkty; alternatywa dla Modułu B+C dla ważnych produktów klasy I i II	Tak
EUCC / program cyberbezpieczeństwa	Gdy dostępny jest odpowiedni europejski program certyfikacji cyberbezpieczeństwa, certyfikat co najmniej na istotnym poziomie uzasadnienia zaufania	Usuwa obowiązek oceny przez stronę trzecią, ale tylko dla wymagań objętych certyfikatem
Wolne i otwarte oprogramowanie	Kwalifikujące się produkty wolnego i otwartego oprogramowania należące do ważnych klas	Może skorzystać z dowolnej ścieżki: Moduł A, B+C lub H, w tym z Modułu A, jeśli dokumentacja techniczna jest publicznie dostępna w momencie wprowadzenia do obrotu

Skorzystaj z tego schematu, aby zidentyfikować właściwą ścieżkę:

flowchart TD
    A["Jaka jest klasa produktu?"] --> B["Domyślna
(nie wymieniona)"]
    A --> C["Ważny produkt klasy I
(klasa z wykazu)"]
    A --> D["Ważny produkt klasy II
(klasa z wykazu)"]
    A --> E["Krytyczna
(lista krytyczna)"]
    B --> F["Moduł A, B+C lub H
dowolny wybór"]
    C --> G{"Normy, specyfikacje lub
program w pełni zastosowane?"}
    G -->|Tak| H["Moduł A dostępny
lub B+C / H"]
    G -->|Nie| I["Moduł B+C lub H
wymagana jednostka notyfikowana"]
    D --> J["Moduł B+C, H lub program certyfikacji
co najmniej na poziomie istotnym"]
    E --> K["Ścieżka certyfikacji, jeśli dostępna
w przeciwnym razie ścieżki z jednostką trzecią"]

5. Zastosowane normy

Normy zharmonizowane to normy publikowane w Dzienniku Urzędowym UE. Tworzą domniemanie zgodności dla wymagań, które obejmują. Podaj pełne odniesienie: numer, rok, tytuł.

Format:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Jeśli normy zharmonizowane nie istnieją, podaj: „Nie zastosowano norm zharmonizowanych. Zgodność wykazana poprzez [opisz podejście]."

Jeżeli podczas oceny zgodności korzystano z europejskiego certyfikatu cyberbezpieczeństwa, wymień go z nazwą programu i numerem referencyjnym certyfikatu (pokrywa to pole certyfikacji w deklaracji).

6. Informacje dodatkowe specyficzne dla CRA

Ta sekcja nie jest częścią minimalnego szablonu deklaracji, ale jej uwzględnienie poprawia przejrzystość regulacyjną:

• Okres wsparcia. Podaj, kiedy kończą się aktualizacje bezpieczeństwa. Musi wynosić co najmniej 5 lat od wprowadzenia do obrotu albo oczekiwany okres użytkowania, jeśli jest krótszy.
• Kontakt ds. podatności. Gdzie należy kierować zgłoszenia, w tym odniesienie do pliku security.txt.

7. Podpis

Podpisać może każda osoba upoważniona do prawnego zobowiązania producenta. Zazwyczaj jest to prezes, dyrektor, kierownik jakości lub osoba odpowiedzialna za sprawy regulacyjne. DoC musi zawierać pełne imię i nazwisko sygnatariusza oraz jego funkcję, miejsce i datę (data musi przypadać po ukończeniu oceny) i podpis, zwykle odręczny lub kwalifikowany podpis elektroniczny.

Kiedy należy nanieść oznakowanie CE w relacji do Deklaracji zgodności?

W przypadku produktów fizycznych umieść oznakowanie CE w sposób widoczny, czytelny i trwały na produkcie przed wprowadzeniem go do obrotu. Jeśli nie jest to możliwe lub nie jest uzasadnione charakterem produktu, umieść je na opakowaniu oraz na Deklaracji zgodności UE.

W przypadku produktów wyłącznie programowych oznakowanie CE umieszcza się bezpośrednio na Deklaracji zgodności UE albo na stronie internetowej produktu, w sekcji łatwo i bezpośrednio dostępnej dla konsumentów.

Jeśli w ocenie zgodności w ramach Modułu H uczestniczy jednostka notyfikowana, po oznakowaniu CE musi następować jej numer identyfikacyjny.

Czy DoC wymaga tłumaczenia?

Tak. DoC musi być udostępniona w językach wymaganych przez każde państwo członkowskie, w którym produkt jest wprowadzany do obrotu.

W praktyce:

• Sprzedaż wyłącznie w Niemczech wymaga niemieckiej DoC.
• Sprzedaż w całej UE oznacza wiele wersji językowych.
• Wszystkie wersje językowe przechowuj w dokumentacji technicznej.

Uproszczona DoC oraz adres URL wskazujący na pełną DoC również muszą być w wymaganych językach. Utrzymanie stabilnego i dostępnego adresu URL to dobra praktyka.

Czy każdy model lub wersja produktu wymaga własnej Deklaracji zgodności?

Jedna DoC na typ produktu

Każdy odrębny model lub typ produktu zasadniczo wymaga własnej DoC.

Jedna DoC może objąć kilka wariantów, gdy są one wariantami tego samego typu, ta sama ocena zgodności ma do nich zastosowanie i zastosowano te same normy.

Przykład:

Nazwa produktu:    SmartSense Pro Industrial Sensor
Model/Typ:         SSP-3000 (wszystkie warianty)
                   - SSP-3000-WiFi
                   - SSP-3000-LoRa
                   - SSP-3000-Cellular

Kiedy modyfikacja wymaga nowej DoC?

Poniższa tabela pokazuje typowe skutki. Stosuj powyższy ustawowy test, a nie traktuj żadnego pojedynczego czynnika jako automatycznego wyzwalacza.

Scenariusz	Nowa DoC wymagana?
Nowa wersja sprzętowa wpływająca na zgodność z zasadniczymi wymaganiami	Tak, istotna modyfikacja
Aktualizacja firmware poszerzająca powierzchnię ataku lub podnosząca ryzyko cyberbezpieczeństwa	Tak, istotna modyfikacja
Aktualizacja firmware zmieniająca przeznaczenie produktu	Tak, istotna modyfikacja
Łatka bezpieczeństwa (ta sama architektura, brak nowego ryzyka, redukuje liczbę CVE)	Zależy od przypadku
Zmiana zastosowanych norm zharmonizowanych lub certyfikatu oceny zgodności	Zależy od przypadku, tylko jeśli odzwierciedla zmianę wpływającą na zasadnicze wymagania lub ocenione przeznaczenie
Zmiana wyłącznie kosmetyczna, dokumentacyjna lub lokalizacyjna	Nie
Osoba trzecia istotnie modyfikuje produkt i udostępnia go na rynku	Tak, osoba trzecia wystawia nową DoC jako nowy producent

W przypadku iteracyjnych wydań oprogramowania, które nie są istotnymi modyfikacjami, istniejąca DoC pozostaje ważna. Producent musi umieć wykazać to organom nadzoru rynku, a aktualizacja oceny ryzyka jest sposobem na potwierdzenie tego.

Dystrybucja DoC

DoC musi towarzyszyć produktowi w jednej z dwóch form:

• pełna DoC, albo
• uproszczona DoC zawierająca dokładny adres internetowy, pod którym opublikowano pełną DoC.

Każda z tych form musi być udostępniana na żądanie organom nadzoru rynku i powinna być dostępna dla klientów na żądanie.

Uproszczona Deklaracja zgodności UE

Forma uproszczona składa się z dwóch zdań: deklaracji producenta oraz adresu URL, pod którym znajduje się pełny dokument. Jest szczególnie przydatna przy dystrybucji oprogramowania, w urządzeniach z ograniczoną przestrzenią na opakowaniu i w każdym produkcie, którego pełna DoC jest publikowana online.

Adres URL: CRA wymaga jedynie, aby uproszczona DoC zawierała dokładny adres internetowy, pod którym dostępna jest pełna DoC. Dobrą praktyką, choć nie wymogiem prawnym, jest utrzymanie stabilnego adresu (bez zmian po rozpoczęciu dystrybucji produktów), dostępnego bez rejestracji i logowania, umożliwiającego pobranie lub wydruk dokumentu. Pełna DoC musi nadal istnieć w dokumentacji technicznej i być dostępna organom na żądanie.

Najczęstsze błędy

Błąd	Dlaczego ma znaczenie	Rozwiązanie
Brak wymaganych elementów (np. brak oświadczenia o zgodności albo brak danych jednostki notyfikowanej, gdy była zaangażowana)	DoC jest niezgodna	Skorzystaj z listy kontrolnej przed podpisaniem; zweryfikuj każdy wymagany element deklaracji
Podpisuje niewłaściwy podmiot (importer lub dystrybutor podpisuje zamiast producenta)	DoC jest prawnie nieważna	Podpisuje ją osoba upoważniona do zobowiązania producenta albo upoważniony przedstawiciel, którego pełnomocnictwo obejmuje podpisanie. Importer lub dystrybutor nie może jej podpisać, chyba że stał się producentem
Nieaktualne odniesienia do norm (wymienione normy wycofane lub zastąpione)	Domniemanie zgodności jest utracone	Regularnie przeglądaj zastosowane normy; aktualizuj DoC, gdy normy się zmieniają
Brak kontroli wersji (kilka wersji DoC bez jasnego wskazania aktualnej)	Ryzyko podczas audytu i egzekwowania przepisów	Nadawaj numery deklaracji; archiwizuj zastąpione wersje
Podpisanie przed ukończeniem oceny (DoC datowana przed zakończeniem czynności oceny)	DoC poprzedza dowody, na których się opiera	Najpierw zakończ wszystkie czynności oceny; data DoC musi następować po ocenie
Niewłaściwy język (DoC tylko po angielsku przy sprzedaży w państwie członkowskim, w którym angielski nie jest językiem urzędowym)	Niezgodna dla tego rynku	Przetłumacz DoC na każdy wymagany język państwa członkowskiego
Brak aktualizacji po istotnej modyfikacji (pierwotna DoC nadal używana po istotnej zmianie)	DoC obejmuje wersję, dla której nigdy nie była oceniana	Wydaj nową DoC zawsze, gdy następuje istotna modyfikacja

Lista kontrolna przygotowania DoC

Warianty szablonu DoC

Dla Modułu A (samoocena)

Dla Modułu B+C (ocena zewnętrzna)

Dla wielu rozporządzeń

Jedna połączona DoC jest obowiązkowa, gdy produkt podlega jednocześnie CRA i innym przepisom UE, które również wymagają deklaracji zgodności. Musi ona wskazywać każdy z tych aktów prawnych wraz z jego odniesieniem publikacyjnym:

Wymagania dotyczące przechowywania

Co przechowywać	Okres przechowywania	Gdzie
Podpisana DoC (lub uwierzytelniona kopia)	10 lat od wprowadzenia do obrotu albo przez okres wsparcia, jeżeli jest dłuższy	Dokumentacja techniczna; dostępna organom na żądanie
Historia wersji i zastąpione DoC	Razem z aktualną DoC	Dokumentacja techniczna
Dokumentacja pomocnicza powołana w DoC	Razem z DoC	Dokumentacja techniczna