Deklaracja zgodności UE w CRA: szablon i elementy

Każdy produkt z elementami cyfrowymi wymaga Deklaracji zgodności UE, zanim będzie mógł legalnie nosić oznakowanie CE. DoC jest formalnym oświadczeniem, że produkt spełnia wymagania CRA. Producent ponosi prawną odpowiedzialność za jej rzetelność.

Ten przewodnik zawiera kompletny szablon i wyjaśnia każdy wymagany element.

Czym jest Deklaracja zgodności UE?

Deklaracja zgodności UE to formalny dokument prawny, w którym producent deklaruje, że produkt jest zgodny z obowiązującymi przepisami UE. Jest obowiązkowa dla wszystkich produktów z elementami cyfrowymi, zanim będą mogły nosić oznakowanie CE. W przypadku produktów CRA musi stwierdzać, że:

• Produkt spełnia zasadnicze wymagania cyberbezpieczeństwa.
• Ocena zgodności została ukończona.
• Producent ponosi odpowiedzialność prawną.

Bez podpisanej DoC produkt nie może nosić oznakowania CE i nie może być legalnie wprowadzony do obrotu na rynku UE.

Czego CRA wymaga w DoC?

DoC musi być sporządzona przed wprowadzeniem do obrotu, aktualizowana w miarę zmian produktu lub statusu zgodności, przetłumaczona na języki wymagane przez każde państwo członkowskie, w którym produkt jest sprzedawany, i przechowywana wraz z dokumentacją techniczną przez co najmniej dziesięć lat.

Wymagane elementy

#	Element	Co uwzględnić
1	Nazwa i typ produktu	Nazwa, typ oraz wszelkie dodatkowe informacje umożliwiające jednoznaczną identyfikację produktu z elementami cyfrowymi.
2	Identyfikacja producenta	Nazwa i adres producenta lub jego upoważnionego przedstawiciela.
3	Oświadczenie o wyłącznej odpowiedzialności	Dokładne sformułowanie: „Niniejszą deklarację zgodności wydaje się na wyłączną odpowiedzialność dostawcy."
4	Przedmiot deklaracji	Identyfikacja produktu umożliwiająca identyfikowalność, w stosownych przypadkach z fotografią.
5	Oświadczenie o zgodności	Potwierdzenie, że przedmiot deklaracji jest zgodny z Rozporządzeniem (UE) 2024/2847.
6	Zastosowane normy i certyfikacje	Zastosowane normy zharmonizowane, wspólne specyfikacje lub certyfikacje cyberbezpieczeństwa.
7	Dane jednostki notyfikowanej	Nazwa, numer, przeprowadzona procedura oceny zgodności, numer referencyjny certyfikatu. Wymagane tylko wtedy, gdy zastosowano moduł oceny zewnętrznej.
8	Informacje dodatkowe i podpis	Miejsce i data wystawienia; imię i nazwisko sygnatariusza, funkcja i podpis (odręczny lub kwalifikowany elektroniczny). Inne informacje dodatkowe według potrzeby.

Każdy wiersz odpowiada odpowiednio numerowanej pozycji w Załącznik V.

Kompletny szablon DoC

Wykorzystaj go jako punkt wyjścia. Dostosuj pola w nawiasach kwadratowych do swojego produktu.

Przewodnik sekcja po sekcji

1. Identyfikacja dokumentu

Numer deklaracji. Nieobowiązkowy, ale zdecydowanie zalecany do kontroli wersji. Praktyczny format to DoC-[KodProduktu]-[Rok]-[Sekwencja], na przykład DoC-SSP3000-2027-001.

Data wystawienia. Data podpisania deklaracji. Musi przypadać po ukończeniu oceny zgodności.

2. Identyfikacja producenta

Sygnatariuszem jest producent: osoba upoważniona do prawnego zobowiązania producenta. CRA dopuszcza ustanowienie upoważnionego przedstawiciela, ale samo w sobie nie nakazuje go; tam gdzie zostaje ustanowiony, może być wskazany w deklaracji i przechowywać ją dla organów nadzoru rynku, jednak akt złożenia deklaracji zgodności pozostaje po stronie producenta (Artykuł 28). Jeżeli upoważniony przedstawiciel jest wskazany w deklaracji, dodaj wiersz typu:

Upoważniony przedstawiciel: [Nazwa, adres]
działający w imieniu: [Nazwa producenta, adres]

3. Identyfikacja produktu

Bądź na tyle szczegółowy, by zapewnić identyfikowalność: podaj numery modeli, oddzielnie wersje sprzętu i oprogramowania oraz zakres partii lub numerów seryjnych.

Przykład:

Nazwa produktu:    SmartSense Pro Industrial Sensor
Model/Typ:         SSP-3000
Wersja sprzętowa:  Rev C (PCB v3.2)
Wersja programowa: Firmware 2.4.1
Partia/Numer ser.: Numery seryjne SSP3K-2027-XXXXXX

4. Ocena zgodności

To, którego modułu musisz użyć, zależy od klasyfikacji produktu. Skorzystaj z tej tabeli, aby się zorientować:

Moduł	Kiedy ma zastosowanie	Jednostka notyfikowana?
Module A (Wewnętrzna kontrola produkcji)	Produkty domyślne; Ważna Klasa I, gdy odpowiednie normy, specyfikacje lub system są w pełni zastosowane	Nie
Module B+C (Badanie typu UE)	Dostępny dla wszystkich produktów; wymagana opcja dla Ważnej Klasy I, gdy nie są w pełni zastosowane; jedna ze ścieżek dla Ważnej Klasy II i awaryjna dla krytycznych	Tak
Module H (Pełne zapewnienie jakości)	Wszystkie produkty; alternatywa dla B+C w Ważnej Klasie I i II	Tak
EUCC / program cyberbezpieczeństwa	Produkty posiadające europejski certyfikat cyberbezpieczeństwa na poziomie uzasadnienia zaufania ≥ Znaczny (Artykuł 27(9))	Dodatkowa ocena zewnętrzna nie jest wymagana

Skorzystaj z tego schematu, aby zidentyfikować swoją ścieżkę:

flowchart TD
    A["Jaka jest klasa Twojego produktu?"] --> B["Domyślna\n(nie wymieniono)"]
    A --> C["Ważna Klasa I\n(klasa z wykazu)"]
    A --> D["Ważna Klasa II\n(klasa z wykazu)"]
    A --> E["Krytyczna\n(lista krytyczna)"]
    B --> F["Moduł A, B+C lub H\nTwój wybór"]
    C --> G{"Normy, specyfikacje lub\nsystem w pełni zastosowane?"}
    G -->|Tak| H["Moduł A dostępny\nlub B+C / H"]
    G -->|Nie| I["Moduł B+C lub H\nJednostka notyfikowana wymagana"]
    D --> J["Moduł B+C, H lub system certyfikacji\nna co najmniej \"istotnym\" poziomie"]
    E --> K["Ścieżka certyfikacji, jeśli ma zastosowanie
w przeciwnym razie ścieżki z udziałem strony trzeciej"]

5. Zastosowane normy

Normy zharmonizowane to normy publikowane w Dzienniku Urzędowym UE. Tworzą domniemanie zgodności dla wymagań, które obejmują. Podaj pełne odniesienie: numer, rok, tytuł.

Format:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Jeśli normy zharmonizowane nie istnieją, podaj: „Nie zastosowano norm zharmonizowanych. Zgodność wykazana poprzez [opisz podejście]."

Jeżeli podczas oceny zgodności korzystano z europejskiego certyfikatu cyberbezpieczeństwa, wymień go z nazwą programu i numerem referencyjnym certyfikatu (to pokrywa pole certyfikacji w deklaracji).

6. Informacje dodatkowe specyficzne dla CRA

Ta sekcja nie należy do minimalnego szablonu, ale jej dodanie poprawia przejrzystość regulacyjną:

• Okres wsparcia. Podaj, kiedy kończą się aktualizacje bezpieczeństwa. Musi wynosić co najmniej 5 lat od wprowadzenia do obrotu albo oczekiwany okres użytkowania, jeśli jest krótszy.
• Kontakt ds. podatności. Gdzie należy kierować zgłoszenia, w tym odniesienie do pliku security.txt.

7. Podpis

Każda osoba upoważniona do prawnego zobowiązania producenta może podpisać. Zazwyczaj jest to CEO, dyrektor, kierownik jakości lub kierownik ds. regulacyjnych. DoC musi zawierać pełne imię i nazwisko sygnatariusza oraz tytuł, miejsce i datę (data po ukończeniu oceny) oraz podpis odręczny lub kwalifikowany podpis elektroniczny.

Kiedy należy nanieść oznakowanie CE w relacji do Deklaracji zgodności?

W przypadku produktów fizycznych umieść oznakowanie CE w sposób widoczny, czytelny i trwały na produkcie przed wprowadzeniem go do obrotu.

W przypadku produktów wyłącznie programowych oznakowanie CE umieszcza się bezpośrednio na Deklaracji zgodności UE albo na stronie internetowej produktu w sekcji łatwo i bezpośrednio dostępnej dla użytkowników.

Czy DoC wymaga tłumaczenia?

Tak. DoC musi być udostępniona w językach wymaganych przez każde państwo członkowskie, w którym produkt jest wprowadzany do obrotu.

W praktyce:

• Sprzedaż wyłącznie w Niemczech wymaga niemieckiej DoC.
• Sprzedaż w całej UE oznacza wiele wersji językowych.
• Wszystkie wersje językowe przechowuj w dokumentacji technicznej.

Uproszczona DoC oraz adres URL wskazujący na pełną DoC również muszą być w wymaganych językach. Sam adres URL musi pozostać stabilny i dostępny.

Czy każdy model lub wersja produktu wymaga własnej Deklaracji zgodności?

Jedna DoC na typ produktu

Każdy odrębny model lub typ produktu zasadniczo wymaga własnej DoC.

Jedna DoC może objąć kilka wariantów, gdy są one wariantami tego samego typu, ta sama ocena zgodności ma do nich zastosowanie i zastosowano te same normy.

Przykład:

Nazwa produktu:    SmartSense Pro Industrial Sensor
Model/Typ:         SSP-3000 (wszystkie warianty)
                   - SSP-3000-WiFi
                   - SSP-3000-LoRa
                   - SSP-3000-Cellular

Kiedy modyfikacja wymaga nowej DoC?

Scenariusz	Nowa DoC wymagana?
Nowa wersja sprzętowa wpływająca na cechy bezpieczeństwa	Tak, istotna modyfikacja
Aktualizacja firmware wprowadzająca nowe interfejsy lub nowe wektory zagrożeń	Tak, zmieniony profil ryzyka cyberbezpieczeństwa
Aktualizacja firmware zmieniająca przeznaczenie produktu	Tak, istotna modyfikacja
Łatka bezpieczeństwa (ta sama architektura, brak nowego ryzyka, redukuje CVE)	Zależy od przypadku
Zmiana zastosowanych norm zharmonizowanych lub certyfikatu oceny zgodności	Tak
Zmiana wyłącznie kosmetyczna, dokumentacyjna lub lokalizacyjna	Nie
Osoba trzecia istotnie modyfikuje produkt i wprowadza go do obrotu	Tak, osoba trzecia wydaje nową DoC jako nowy producent

W przypadku iteracyjnych wydań oprogramowania, które nie są istotnymi modyfikacjami, istniejąca DoC pozostaje ważna. Musisz być w stanie wykazać to organom nadzoru rynku, a aktualizacja oceny ryzyka jest sposobem, w jaki to robisz.

Dystrybucja DoC

DoC musi towarzyszyć produktowi. Możesz wybrać:

• pełną DoC, albo
• uproszczoną DoC zawierającą dokładny adres internetowy, pod którym opublikowano pełną DoC.

Każda z form musi być również udostępniana na żądanie organom nadzoru rynku i powinna być dostępna dla klientów na żądanie.

Uproszczona Deklaracja zgodności UE

Forma uproszczona składa się z dwóch zdań: deklaracji producenta i adresu URL, pod którym znajduje się pełny dokument. Jest szczególnie przydatna w dystrybucji oprogramowania, w urządzeniach z ograniczoną przestrzenią na opakowaniu i w każdym produkcie, którego pełna DoC jest publikowana online.

Wymagania dotyczące adresu URL: stabilny (nie zmieniaj go po rozpoczęciu dystrybucji produktów), dostępny bez rejestracji ani logowania, a strona powinna umożliwiać pobranie lub wydrukowanie DoC. Pełna DoC musi nadal istnieć w dokumentacji technicznej i być dostępna dla organów na żądanie.

Najczęstsze błędy

Błąd	Dlaczego ma znaczenie	Rozwiązanie
Brak wymaganych elementów (np. nie wskazano modułu oceny zgodności)	DoC jest niezgodna	Korzystaj z listy kontrolnej przed podpisaniem; weryfikuj każdy wymagany element deklaracji
Podpisuje niewłaściwy podmiot (importer lub dystrybutor podpisuje zamiast producenta)	DoC jest prawnie nieważna	Podpisać może wyłącznie producent (osoba upoważniona do prawnego zobowiązania producenta); importer ani dystrybutor nie może podpisać, chyba że stał się producentem
Nieaktualne odniesienia do norm (wymienione normy wycofane lub zastąpione)	Domniemanie zgodności jest utracone	Regularnie przeglądaj zastosowane normy; aktualizuj DoC, gdy normy się zmieniają
Brak kontroli wersji (kilka wersji DoC bez jasnego wskazania aktualnej)	Ryzyko podczas audytu i egzekwowania	Nadawaj numery deklaracji; archiwizuj zastąpione wersje
Podpisanie przed ukończeniem oceny (DoC datowana przed zakończeniem czynności oceny)	DoC poprzedza dowody, na których się opiera	Najpierw zakończ wszystkie czynności oceny; data DoC musi następować po ocenie
Niewłaściwy język (DoC tylko po angielsku przy sprzedaży w państwie członkowskim, w którym angielski nie jest językiem urzędowym)	Niezgodna dla tego rynku	Przetłumacz DoC na każdy wymagany język państwa członkowskiego
Brak aktualizacji po istotnej modyfikacji (pierwotna DoC nadal używana po istotnej zmianie)	DoC obejmuje wersję, dla której nigdy nie była oceniana	Wydaj nową DoC zawsze, gdy następuje istotna modyfikacja

Lista kontrolna przygotowania DoC

Warianty szablonu DoC

Dla Module A (samoocena)

Dla Module B+C (ocena zewnętrzna)

Dla wielu rozporządzeń

Jedna połączona DoC jest dopuszczalna, gdy produkt podlega zarówno CRA, jak i innym przepisom UE:

Wymagania dotyczące przechowywania

Co przechowywać	Okres przechowywania	Gdzie
Podpisana DoC (lub uwierzytelniona kopia)	10 lat od wprowadzenia do obrotu albo przez okres wsparcia, jeżeli jest dłuższy	Dokumentacja techniczna; dostępna organom na żądanie
Historia wersji i zastąpione DoC	Razem z aktualną DoC	Dokumentacja techniczna
Dokumentacja pomocnicza powołana w DoC	Razem z DoC	Dokumentacja techniczna