CRA-bedömning av överensstämmelse: guide till Modul A, B+C och H

Vilket spår du väljer för bedömning av överensstämmelse avgör kostnad, tidslinje och externa beroenden. Väljer du fel spenderar du månader och tusentals euro i onödan. Väljer du rätt har du en tydlig väg till CE-märkning.

Den här guiden hjälper dig att välja rätt modul och förstå vad varje alternativ innebär i praktiken.

Källor: CRA Artikel 13 (arkiveringstid), NANDO-databasen och EU:s register över anmälda organ (beteckningsstatus), siffror angivna i denna guide.

Sammanfattning

• Modul A (Självbedömning): Tillgänglig för Default-produkter och Viktig klass I (om du tillämpar harmoniserade standarder)
• Modul B+C (Tredjepartsbedömning): Obligatorisk för Viktig klass II, frivillig för övriga
• Modul H (Fullständig kvalitetssäkring): Alternativ till B+C för organisationer med flera produkter
• Produktklassificering avgör vilka alternativ som finns tillgängliga
• Kostnadsskillnad: Modul A (~5 000–20 000 USD internt), B+C (~30 000–100 000+ USD), H (~50 000+ USD i uppstart plus löpande kostnader)

Översikt över bedömning av överensstämmelse

Bedömning av överensstämmelse är det sätt på vilket du visar att din produkt uppfyller CRA-kraven. EU:s försäkran om överensstämmelse (DoC) som du skriver under förklarar att produkten överensstämmer, men du måste ha dokumentation som styrker påståendet.

CRA erbjuder tre moduler för bedömning av överensstämmelse. Beslutsträdet ovan kartlägger varje produktkategori till tillåtna vägar. Modul A är en tillverkares självbedömning. Modul B+C kombinerar ett anmält organs typkontroll (B) med en produktionsöverensstämmelsefas som du genomför (C). Modul H är en enda väg där ett anmält organ godkänner ditt kvalitetsledningssystem och övervakar det löpande.

När kan man använda Modul A-självbedömning?

Självbedömning. Du utvärderar din egen produkt mot CRA-kraven.

När Modul A är tillgänglig

• Default-produkter: Alltid tillgänglig
• Viktig klass I: Bara om du tillämpar relevanta harmoniserade standarder fullt ut

Vad "harmoniserade standarder" innebär

För självbedömning av Viktig klass I måste du tillämpa harmoniserade standarder som:

• Täcker de väsentliga säkerhetskraven i Bilaga I
• Är publicerade i EU:s officiella tidning
• Tillämpas i sin helhet (inte delvis)

Om ingen harmoniserad standard finns för din produkttyp måste Viktig klass I-produkter använda Modul B+C eller H.

Harmoniserade standarder för CRA håller fortfarande på att tas fram. Bevaka publikationer i OJEU.

Modul A-processen

1. Designfas. Tillämpa säkerhet-som-standard-principer, genomför en riskbedömning mot Bilaga I, dokumentera säkerhetsarkitekturen och tillämpa harmoniserade standarder om produkten är Viktig klass I.
2. Dokumentation. Upprätta den tekniska filen (Bilaga VII) med produktbeskrivning, riskbedömningsresultat, designdokumentation, tillämpade standarder, testresultat och SBOM. Förbered EU:s försäkran om överensstämmelse.
3. Produktionskontroller. Se till att produktionen upprätthåller överensstämmelse, dokumentera kvalitetskontroller och verifiera varje enhet där det är tillämpligt.
4. Slutförande. Underteckna EU:s försäkran om överensstämmelse, fäst CE-märkningen och arkivera dokumentationen i 10 år.

Dokumentationskrav för Modul A

Din tekniska fil (Bilaga VII) under Modul A måste täcka dessa sex områden.

Kostnader för Modul A

Typisk total: 15 000–50 000 USD (interna kostnader)

Tidslinje för Modul A

Typisk total tidslinje: 2–4 månader

När kräver CRA ett anmält organ?

Tredjepartsbedömning. Ett anmält organ granskar din produktdesign.

När Modul B+C är obligatorisk

• Viktig klass II: Obligatorisk
• Kritiska produkter: Obligatorisk (plus EUCC)
• Viktig klass I: Om harmoniserade standarder inte tillämpas

Modul B: EU-typkontroll

Ett anmält organ granskar ett representativt prov (typ) av din produkt och utfärdar ett intyg.

1. Ansökan. Välj ett anmält organ och skicka in din ansökan med produktprov, teknisk dokumentation och ansökningsformuläret. Betala de inledande avgifterna.
2. Granskning. Det anmälda organet granskar dokumentationen, testar produktprovet, verifierar efterlevnad av Bilaga I och kan begära ytterligare information eller tester.
3. Beslut. Om produkten uppfyller kraven utfärdar det anmälda organet EU-typkontrollintyget. Om brister hittas åtgärdar du dem och lämnar in på nytt.
4. Intyg. Gäller för bedömd produkttyp, listar villkor och begränsningar och är föremål för granskning (normalt vart femte år).

Modul C: Överensstämmelse med typ

Efter Modul B ser du till att produktionen överensstämmer med den certifierade typen.

1. Produktionskontroller. Se till att varje enhet överensstämmer med den certifierade typen, dokumentera produktionsprocesser och upprätthåll kvalitetskontroller.
2. Försäkran. Hänvisa till EU-typkontrollintyget, underteckna EU:s försäkran om överensstämmelse och fäst CE-märkningen.
3. Löpande. Upprätthåll överensstämmelse med den certifierade typen, rapportera ändringar som påverkar typen till det anmälda organet och omcertifiera vid väsentliga ändringar.

Val av anmält organ

Faktorer att beakta vid val av anmält organ:

Hitta anmälda organ: Kontrollera NANDO-databasen (EU:s officiella register över anmälda organ) när CRA-beteckningar publicerats.

Kostnader för Modul B+C

Typisk total: 30 000–100 000+ USD

Tidslinje för Modul B+C

Typisk total tidslinje: 4–10 månader

Modul H: Fullständig kvalitetssäkring

Kvalitetsledningssystemets tillvägagångssätt. Anmält organ godkänner ditt QMS för design, produktion och testning.

När Modul H passar bäst

Modul H är fördelaktig när:

• Du har flera produkter som kräver tredjepartsbedömning
• Du redan har ett moget QMS (ISO 9001, ISO 27001)
• Du vill ha en löpande relation med anmält organ snarare än bedömning per produkt
• Du lanserar produktuppdateringar ofta

Modul H-processen

1. Upprättande av QMS. Utforma ett kvalitetssystem som täcker din designprocess, produktionskontroller, testprocedurer och dokumentationshantering, anpassat till CRA-kraven.
2. Bedömning av anmält organ. Lämna in QMS-dokumentation, ta emot det anmälda organets revision, verifiera CRA-anpassning och ta emot QMS-godkännandeintyget.
3. Produktdesign (per produkt). Följ godkänt QMS för design, genomför en designgranskning, dokumentera efterlevnad och tillåt det anmälda organets revisioner av designprocessen.
4. Produktion. Följ godkänt QMS för produktion, dokumentera överensstämmelse och ta emot det anmälda organets övervakningsrevisioner.
5. Försäkran (per produkt). Underteckna EU:s försäkran om överensstämmelse, hänvisa till QMS-intyget och fäst CE-märkningen.
6. Löpande. Upprätthåll QMS, klara det anmälda organets övervakningsrevisioner (normalt årliga) och omcertifiera QMS (normalt vart tredje till femte år).

QMS-krav för Modul H

Ditt kvalitetsledningssystem måste täcka fyra områden parallellt. Brister i något av dessa blockerar certifieringen.

Kostnader för Modul H

Inledande uppstart: 40 000–100 000 USD Löpande per år: 10 000–30 000 USD

Modul H vs B+C: beslutsjämförelse

Tumregel: Modul H blir kostnadseffektiv vid 4+ produkter eller när du annars skulle behöva omgranskning ofta.

Beslutsramverk

Steg 1: Bestäm produktklassificering

Använd produktklassificeringsguiden för att avgöra: Default, Viktig klass I, Viktig klass II eller Kritisk.

Steg 2: Identifiera tillgängliga alternativ

Beslutsträdet i början av guiden visar hela mappningen. Tabellen nedan sammanfattar samma vägar i textform.

Steg 3: Beakta affärsfaktorer

Steg 3 hjälper dig bara att välja bland de moduler som Steg 2 lämnade tillgängliga. CRA Bilaga VIII gör Modul A rättsligt otillgänglig för Viktig klass I utan harmoniserade standarder, för Viktig klass II och för Kritiska produkter. De två tabellerna nedan delar upp på den gränsen så att varje rad har ett möjligt svar på din väg.

När Modulerna A, B+C och H alla är tillgängliga

Gäller Default-produkter och Viktig klass I med harmoniserade standarder fullt tillämpade.

När bara Modulerna B+C och H är tillgängliga

Gäller Viktig klass I utan harmoniserade standarder, Viktig klass II och Kritiska produkter. Modul A är inte ett rättsligt alternativ för dessa kategorier oavsett budget- eller tidsbegränsningar.

Den andra grenen speglar tabellen "Modul H vs B+C: beslutsjämförelse" tidigare i guiden. Där de överlappar kan du behandla dem som samma beslut från två vinklar: den tidigare tabellen är kostnadsviktad, den här är operationellt anpassningsviktad.

Steg 4: Beräkna kostnader

Scenario: 5 Viktig klass II-produkter, inget befintligt QMS, 5-årshorisont med 2 uppdateringar per produkt.

EU:s försäkran om överensstämmelse

Oavsett vald modul måste du utfärda en EU:s försäkran om överensstämmelse.

Obligatoriskt innehåll i DoC

EU:s försäkran om överensstämmelse för cyberresiliensförordningen är Förordning (EU) 2024/2847. Varje DoC måste innehålla de åtta fälten nedan, följt av undertecknarblocket.

1. Produktidentifiering. Produktnamn, typ, sats och serienummer i en detaljeringsgrad som medger spårbarhet.
2. Tillverkarens namn och adress. Den juridiska person som ansvarar för försäkran. Uppgifter om auktoriserad representant, om tillämpligt.
3. Ansvarighetsförklaring. "Denna försäkran om överensstämmelse utfärdas på tillverkarens eget ansvar."
4. Föremål för försäkran. Produktbeskrivning tillräcklig för spårbarhet, inklusive fotografi eller ritning om produkten är fysisk.
5. Tillämplig EU-lagstiftning. Lista varje förordning produkten överensstämmer med, med start i Förordning (EU) 2024/2847 (Cyber Resilience Act) och lägg till all annan horisontell lagstiftning (RED, EMC, maskindirektivet m.m.) som är tillämplig.
6. Tillämpade harmoniserade standarder eller specifikationer. Lista varje standard med versionsnummer. Om ingen harmoniserad standard täcker del av Bilaga I, hänvisa till den specifikation eller gemensamma specifikation som använts istället.
7. Block för anmält organ (Modul B+C eller H). Organets namn, fyrsiffrigt identifieringsnummer, intygshänvisning, utförd modul och utfärdat intygsnummer. Utelämna detta fält helt för Modul A.
8. Tilläggsinformation. Supportperiodens slutdatum, kontaktpunkt för sårbarhetrapporter och annan information som CRA eller tillämplig lagstiftning kräver.

CE-märkning

Efter bedömning av överensstämmelse fäster du CE-märkningen. Märkets visuella form är fast. Det som ändras är om ett fyrsiffrigt nummer från det anmälda organet följer med det.

Krav för CE-märkning

Placering av CE-märkning

Vanliga misstag

Vart och ett av de fem misstagen nedan har samma anatomi: en lockande genväg, en allvarlig konsekvens och en specifik förebyggande vana.

Checklista för bedömning av överensstämmelse

Börja med förberedelsekorten. Slutför sedan bara de kort som gäller din produkts modul. Varje produkt avslutas med Slutförande-kortet.