CRA Ocena zgodności: samoocena czy jednostka notyfikowana

Wybrana ścieżka oceny zgodności CRA determinuje koszty, harmonogram i zależności zewnętrzne. Błędny wybór oznacza stratę miesięcy i tysięcy euro. Właściwy wybór daje jasną drogę do oznakowania CE.

Niniejszy przewodnik pomaga wybrać właściwy moduł oceny zgodności i zrozumieć, co każdy z nich obejmuje.

Źródła: Artykuł 13(13) CRA (okres przechowywania), baza NANDO (rejestr Jednostek Notyfikowanych UE, status wyznaczenia), wartości podane w niniejszym przewodniku. Wskaźnik "~90%" produktów Default jest szacunkiem wynikającym z wąskiego zakresu Załączników III/IV, a nie wartością określoną przez RCC.

Przegląd oceny zgodności

Ocena zgodności to sposób wykazania, że produkt spełnia wymagania CRA. Deklaracja Zgodności UE (DoC), którą producent podpisuje, stwierdza zgodność produktu, lecz konieczne jest posiadanie dokumentacji potwierdzającej to twierdzenie.

CRA przewiduje trzy moduły oceny zgodności. Schemat decyzyjny powyżej przyporządkowuje każdą kategorię produktu do dopuszczalnych ścieżek. Moduł A to samoocena producenta. Moduł B+C łączy badanie typu UE przez Jednostkę Notyfikowaną (B) z fazą zgodności produkcji prowadzoną przez producenta (C). Moduł H to jednolita ścieżka, w której Jednostka Notyfikowana zatwierdza system zarządzania jakością i sprawuje nad nim bieżący nadzór.

Kiedy można stosować samoocenę Modułu A?

Samoocena. Producent samodzielnie ocenia produkt względem wymagań CRA.

Kiedy Moduł A jest dostępny

• Produkty domyślne: Zawsze dostępny
• Ważna Klasa I: Wyłącznie przy pełnym zastosowaniu odpowiednich standardów zharmonizowanych

Co oznaczają „standardy zharmonizowane"

Przy samoocenie Ważnej Klasy I należy stosować standardy zharmonizowane, które:

• Obejmują wymagania zasadnicze z Załącznika I
• Zostały opublikowane w Dzienniku Urzędowym UE
• Są stosowane w całości (nie częściowo)

Jeśli nie istnieje standard zharmonizowany dla danego typu produktu, produkty Ważnej Klasy I muszą korzystać z Modułu B+C lub H.

Standardy zharmonizowane dla CRA są nadal opracowywane. Należy monitorować publikacje w Dzienniku Urzędowym UE.

Proces Modułu A

1. Faza projektowania. Stosowanie zasad bezpieczeństwa już na etapie projektowania, przeprowadzenie oceny ryzyka zgodnie z Załącznikiem I, udokumentowanie architektury bezpieczeństwa oraz zastosowanie standardów zharmonizowanych dla produktów Ważnej Klasy I.
2. Dokumentacja. Sporządzenie dokumentacji technicznej z Załącznika VII obejmującej opis produktu, wyniki oceny ryzyka, dokumentację projektową, zastosowane standardy, wyniki testów i SBOM. Przygotowanie Deklaracji Zgodności UE.
3. Kontrole produkcji. Zapewnienie utrzymania zgodności w toku produkcji, udokumentowanie kontroli jakości i weryfikacja każdej jednostki tam, gdzie ma to zastosowanie.
4. Finalizacja. Podpisanie Deklaracji Zgodności UE, umieszczenie oznakowania CE i przechowywanie dokumentacji przez 10 lat.

Wymagania dokumentacyjne Modułu A

Dokumentacja techniczna z Załącznika VII w ramach Modułu A musi obejmować sześć poniższych obszarów.

Koszty Modułu A

Element kosztu	Typowy zakres	Uwagi
Ocena ryzyka	EUR 5 000-15 000	Wewnętrzna lub zlecona konsultantowi
Dokumentacja techniczna	EUR 5 000-20 000	Zależy od złożoności
Testy	EUR 2 000-10 000	Wewnętrzne lub laboratoryjne
Narzędzia SBOM	EUR 0-5 000	Narzędzia mogą już istnieć
Czas personelu wewnętrznego	Zmienny	Często największy składnik kosztu

Typowy zakres całkowity: EUR 15 000-50 000 (koszty wewnętrzne)

Harmonogram Modułu A

Faza	Czas trwania
Ocena ryzyka	2-4 tygodnie
Dokumentacja	4-8 tygodni
Testy	2-4 tygodnie
Przegląd i finalizacja	1-2 tygodnie

Typowy łączny harmonogram: 2-4 miesiące

Kiedy CRA wymaga jednostki notyfikowanej?

Ocena zewnętrzna. Jednostka Notyfikowana bada projekt produktu.

Kiedy wymagana jest jednostka notyfikowana

• Ważna Klasa II: Moduł B+C, H lub schemat na podstawie Artykułu 27(9) na poziomie „substantial" (Artykuł 32(3)).
• Produkty krytyczne (Załącznik IV): Artykuł 8(1) europejski schemat certyfikacji cyberbezpieczeństwa po przyjęciu aktu delegowanego (np. EUCC na poziomie „substantial"), lub Artykuł 32(3) ścieżka zastępcza (B+C, H lub schemat na podstawie Artykułu 27(9)), gdy taki akt delegowany nie ma jeszcze zastosowania. EUCC jest równoległy, nie addytywny względem B+C / H.
• Ważna Klasa I: Moduł B+C lub H, gdy standardy zharmonizowane, wspólne specyfikacje lub schematy na podstawie Artykułu 27 nie są stosowane lub są stosowane tylko częściowo (Artykuł 32(2)).

Moduł B: badanie typu UE

Jednostka Notyfikowana bada reprezentatywną próbkę (typ) produktu i wydaje certyfikat.

1. Wniosek. Wybór Jednostki Notyfikowanej i złożenie wniosku wraz z próbkami produktu, dokumentacją techniczną oraz formularzem wniosku. Uiszczenie opłat wstępnych.
2. Badanie. Jednostka Notyfikowana przegląda dokumentację, testuje próbkę produktu, weryfikuje zgodność z Załącznikiem I i może zażądać dodatkowych informacji lub testów.
3. Decyzja. W przypadku zgodności Jednostka Notyfikowana wydaje Certyfikat Badania Typu UE. W przypadku stwierdzenia niezgodności producent usuwa braki i składa wniosek ponownie.
4. Certyfikat. Ważny dla ocenianego typu, z ewentualnymi warunkami określonymi w certyfikacie. Modyfikacje mogące wpłynąć na zgodność wymagają uzupełnienia oryginalnego certyfikatu (Załącznik VIII Część II, punkty 6-7). RCC nie określa stałego interwału ponownej oceny.

Moduł C: zgodność z typem

Po Module B producent zapewnia, że produkcja jest zgodna z certyfikowanym typem.

1. Kontrole produkcji. Zapewnienie, że każda jednostka jest zgodna z certyfikowanym typem, udokumentowanie procesów produkcji i utrzymanie kontroli jakości.
2. Deklaracja. Odwołanie się do Certyfikatu Badania Typu UE, podpisanie Deklaracji Zgodności UE i umieszczenie oznakowania CE.
3. Bieżące działania. Utrzymanie zgodności z certyfikowanym typem, zgłaszanie Jednostce Notyfikowanej zmian wpływających na typ i recertyfikacja przy istotnych zmianach.

Wybór jednostki notyfikowanej

Czynniki uwzględniane przy wyborze Jednostki Notyfikowanej:

Czynnik	Kwestia do rozważenia
Zakres	Czy JN jest wyznaczona dla CRA i danego typu produktu?
Dostępność	Czy JN ma wolne terminy? (Wczesny etap CRA = ograniczona przepustowość)
Lokalizacja	Lepsza logistyka przy jednostce w pobliżu
Doświadczenie	Znajomość danego typu produktu
Koszt	Opłaty znacznie się różnią
Harmonogram	Kiedy JN może zaplanować badanie?

Wyszukiwanie JN: po opublikowaniu wyznaczonych jednostek dla CRA należy sprawdzić bazę NANDO (oficjalny rejestr Jednostek Notyfikowanych UE).

Koszty Modułu B+C

Element kosztu	Typowy zakres	Uwagi
Opłata za wniosek do JN	EUR 2 000-5 000	Bezzwrotna
Opłata za badanie JN	EUR 15 000-50 000	Zależy od złożoności
Przygotowanie próbek	EUR 1 000-5 000	Próbki produktu do badania
Dokumentacja techniczna	EUR 10 000-30 000	Musi spełniać wymagania JN
Podróże i logistyka	EUR 1 000-5 000	Jeśli wymagane wizyty na miejscu
Naprawa braków (jeśli wymagana)	Zmienna	Ponowne testy, korekty dokumentacji

Typowy zakres całkowity: EUR 30 000-100 000+

Harmonogram Modułu B+C

Faza	Czas trwania
Wybór JN i złożenie wniosku	2-4 tygodnie
Przygotowanie dokumentacji	4-8 tygodni
Czas oczekiwania w kolejce JN	4-16 tygodni (znaczne wahania)
Badanie	4-8 tygodni
Wydanie certyfikatu	2-4 tygodnie

Typowy łączny harmonogram: 4-10 miesięcy

Moduł H: pełne zapewnienie jakości

Podejście oparte na systemie zarządzania jakością. Jednostka Notyfikowana zatwierdza SZJ producenta obejmujący projektowanie, produkcję i testy.

Kiedy Moduł H ma sens

Moduł H jest korzystny w przypadku gdy:

• Producent ma wiele produktów wymagających oceny zewnętrznej
• Istnieje już dojrzały SZJ (ISO 9001, ISO 27001)
• Preferowana jest ciągła współpraca z JN zamiast badania per produkt
• Wydawane są częste aktualizacje produktów

Proces Modułu H

1. Ustanowienie SZJ. Zaprojektowanie systemu jakości obejmującego proces projektowania, kontrole produkcji, procedury testowania i zarządzanie dokumentacją, z uwzględnieniem wymagań CRA.
2. Ocena przez Jednostkę Notyfikowaną. Przedłożenie dokumentacji SZJ, przyjęcie audytu Jednostki Notyfikowanej, weryfikacja zgodności z CRA i otrzymanie certyfikatu zatwierdzenia SZJ.
3. Projektowanie produktu (dla każdego produktu). Stosowanie zatwierdzonego SZJ przy projektowaniu, przeprowadzenie przeglądu projektu, udokumentowanie zgodności i dopuszczenie audytów JN dotyczących procesu projektowania.
4. Produkcja. Stosowanie zatwierdzonego SZJ w produkcji, dokumentowanie zgodności i przyjmowanie audytów nadzorczych Jednostki Notyfikowanej.
5. Deklaracja (dla każdego produktu). Podpisanie Deklaracji Zgodności UE, odwołanie się do certyfikatu SZJ i umieszczenie oznakowania CE.
6. Bieżące działania. Utrzymywać SZJ i poddawać się okresowym audytom nadzoru jednostki notyfikowanej (Załącznik VIII Część IV, punkty 4.1-4.3). RCC nie określa częstotliwości nadzoru ani cyklu recertyfikacji; rytm jest ustalany w planie audytu.

Wymagania SZJ w Module H

System zarządzania jakością musi równolegle obejmować cztery obszary. Braki w którymkolwiek z nich zablokują certyfikację.

Koszty Modułu H

Element kosztu	Typowy zakres	Uwagi
Opracowanie/modernizacja SZJ	EUR 20 000-50 000	Przy wdrożeniu od zera
Audyt wstępny JN	EUR 15 000-30 000	Certyfikacja SZJ
Coroczny nadzór	EUR 5 000-15 000	Koszt bieżący
Przegląd projektu per produkt	EUR 5 000-15 000	Zależy od złożoności

Wdrożenie wstępne: EUR 40 000-100 000 Koszty bieżące (rocznie): EUR 10 000-30 000

Decyzja Moduł H vs B+C

Czynnik	Moduł B+C	Moduł H
Liczba produktów	1-3 produkty	4+ produktów
Istniejący SZJ	Brak dojrzałego SZJ	Dojrzały SZJ istnieje
Częstotliwość aktualizacji	Rzadkie aktualizacje	Częste wydania
Wielkość organizacji	Mała/średnia	Średnia/duża
Koszt wstępny	Niższy	Wyższy
Koszt per produkt	Wyższy	Niższy
Koszt bieżący	Niższy	Wyższy (nadzór)

Zasada ogólna: Moduł H staje się opłacalny przy 4+ produktach lub w przypadku konieczności częstych ponownych badań.

Ramy decyzyjne

Krok 1: określenie klasyfikacji produktu

Klasyfikację należy ustalić korzystając z przewodnika klasyfikacji produktów: Domyślny, Ważna Klasa I, Ważna Klasa II lub Krytyczny.

Krok 2: identyfikacja dostępnych opcji

Schemat decyzyjny na początku niniejszego przewodnika przedstawia pełne mapowanie. Poniższa tabela podsumowuje te same ścieżki w formie tekstowej.

Krok 3: rozważenie czynników operacyjnych

Krok 3 pomaga wybrać spośród modułów dostępnych po Kroku 2. Załącznik VIII CRA sprawia, że Moduł A jest prawnie niedostępny dla Ważnej Klasy I bez standardów zharmonizowanych, dla Ważnej Klasy II oraz dla produktów Krytycznych. Poniższe dwie tabele są rozdzielone według tej granicy dostępności, tak aby każdy wiersz miał osiągalną odpowiedź na danej ścieżce.

Gdy dostępne są Moduły A, B+C i H

Dotyczy produktów domyślnych oraz Ważnej Klasy I z w pełni zastosowanymi standardami zharmonizowanymi.

Gdy dostępne są wyłącznie Moduły B+C i H

Dotyczy Ważnej Klasy I bez standardów zharmonizowanych, Ważnej Klasy II i produktów Krytycznych. Moduł A nie jest prawnie dostępny dla tych kategorii niezależnie od presji budżetowej lub czasowej.

Ta druga gałąź odzwierciedla tabelę „Decyzja Moduł H vs B+C" z wcześniejszej części przewodnika. Tam, gdzie obie się pokrywają, należy traktować je jako tę samą decyzję z dwóch perspektyw: wcześniejsza tabela jest ważona kosztowo, niniejsza odzwierciedla dopasowanie operacyjne.

Krok 4: kalkulacja kosztów

Scenariusz: 5 produktów Ważnej Klasy II, brak istniejącego SZJ, horyzont 5-letni z 2 aktualizacjami na produkt.

Deklaracja zgodności UE

Niezależnie od wybranego modułu producent musi wydać Deklarację Zgodności UE.

Wymagana treść DoC

Deklaracja Zgodności UE dla aktu o cyberodporności to Rozporządzenie (UE) 2024/2847. Każda DoC musi zawierać osiem poniższych pól, po których następuje blok podpisu.

1. Identyfikacja produktu. Nazwa produktu, typ, partia i numer(y) seryjne, z wystarczającym stopniem szczegółowości dla identyfikowalności.
2. Nazwa i adres producenta. Podmiot prawny odpowiedzialny za deklarację. Dane upoważnionego przedstawiciela, jeśli dotyczy.
3. Oświadczenie o odpowiedzialności. „Niniejsza deklaracja zgodności wydana zostaje na wyłączną odpowiedzialność producenta."
4. Przedmiot deklaracji. Opis produktu wystarczający dla identyfikowalności, w tym fotografia lub rysunek, jeśli produkt jest fizyczny.
5. Mające zastosowanie przepisy unijne. Wykaz wszystkich rozporządzeń, z którymi produkt jest zgodny, poczynając od Rozporządzenia (UE) 2024/2847 (akt o cyberodporności), wraz z innymi horyzontalnymi przepisami (RED, EMC, Maszynowym i innymi mającymi zastosowanie).
6. Zastosowane standardy zharmonizowane lub specyfikacje. Wykaz każdego standardu z numerem wersji. Jeśli żaden standard zharmonizowany nie obejmuje części Załącznika I, należy wskazać stosowaną specyfikację lub wspólną specyfikację.
7. Blok Jednostki Notyfikowanej (Moduł B+C lub H). Nazwa Jednostki Notyfikowanej, czterocyfrowy numer identyfikacyjny, odniesienie do certyfikatu, wykonany moduł i numer wydanego certyfikatu. W przypadku Modułu A pole to należy całkowicie pominąć.
8. Informacje dodatkowe. Data zakończenia okresu wsparcia, punkt kontaktowy do zgłaszania podatności i wszelkie inne informacje wymagane przez CRA lub mające zastosowanie przepisy.

Oznakowanie CE

Po ocenie zgodności producent umieszcza oznakowanie CE. Forma wizualna znaku jest ustalona. Zmienia się jedynie to, czy obok znaku umieszczany jest czterocyfrowy numer Jednostki Notyfikowanej.

Wymagania oznakowania CE

Umiejscowienie oznakowania CE

Typowe błędy

Każdy z pięciu poniższych błędów ma tę samą budowę: kuszący skrót, poważna konsekwencja i konkretny nawyk zapobiegawczy.

Lista kontrolna oceny zgodności

Najpierw należy ukończyć kartę oceny wstępnej. Następnie wypełnić wyłącznie karty dla modułu stosowanego przez dany produkt. Każdy produkt kończy na karcie Finalizacja.