EU-försäkran om överensstämmelse enligt CRA: mall och krav

Varje produkt med digitala element behöver en EU-försäkran om överensstämmelse innan den lagligen kan bära CE-märkning. DoC:n är ditt formella uttalande om att produkten uppfyller CRA-kraven. Du är rättsligt ansvarig för att uppgifterna stämmer.

Den här guiden ger dig en komplett mall och går igenom varje obligatoriskt element.

Vad är en EU-försäkran om överensstämmelse?

EU-försäkran om överensstämmelse är ett formellt juridiskt dokument där tillverkaren försäkrar att en produkt uppfyller tillämplig EU-lagstiftning. Den är obligatorisk för alla produkter med digitala element innan de får bära CE-märkning. För CRA-produkter måste den ange att

• produkten uppfyller de väsentliga cybersäkerhetskraven
• bedömningen av överensstämmelse är slutförd
• tillverkaren tar det rättsliga ansvaret.

Utan en undertecknad DoC kan din produkt inte bära CE-märkning och kan inte lagligen släppas ut på EU-marknaden.

Vad kräver CRA av DoC:n?

DoC:n måste upprättas innan produkten släpps ut på marknaden, hållas aktuell när produkten eller dess status för överensstämmelse ändras, översättas till det eller de språk som krävs av varje medlemsstat där produkten säljs, och bevaras tillsammans med den tekniska dokumentationen i minst tio år.

Notera: Om en produkt omfattas av flera EU-rättsakter som var och en kräver en försäkran om överensstämmelse, måste du upprätta en enda kombinerad försäkran som täcker alla akterna, och den ska identifiera varje rättsakt inklusive dess publikationsreferens. Se mallvariationen "Flera förordningar" längre fram i guiden.

Obligatoriska element

#	Element	Vad som ska ingå
1	Produktnamn och typ	Namn, typ och eventuell ytterligare information som möjliggör unik identifiering av produkten med digitala element.
2	Tillverkaridentifiering	Namn och adress till tillverkaren eller tillverkarens representant.
3	Uttalande om eget ansvar	Ett uttalande om att försäkran utfärdas på leverantörens eget ansvar. Förslag på formulering: "Denna försäkran om överensstämmelse utfärdas på leverantörens eget ansvar." CRA-texten använder termen "leverantör".
4	Föremål för försäkran	Identifiering av produkten som möjliggör spårbarhet, vilket vid behov kan inbegripa ett fotografi.
5	Uttalande om överensstämmelse	Ett uttalande om att föremålet överensstämmer med den relevanta unionsharmoniseringslagstiftningen, inklusive Förordning (EU) 2024/2847 och varje annan tillämplig EU-rättsakt.
6	Tillämpade standarder och certifieringar	Harmoniserade standarder, gemensamma specifikationer eller cybersäkerhetscertifieringar som åberopats.
7	Uppgifter om anmält organ	Namn, nummer, utförd bedömningsprocedur, certifikatreferens. Krävs endast när en tredjepartsbedömningsmodul har använts.
8	Tilläggsinformation och underskrift	Utfärdandeort och datum; undertecknarens namn, funktion och underskrift (till exempel handskriven eller en kvalificerad elektronisk underskrift). Övrig tilläggsinformation vid behov.

Varje rad motsvarar punkten med samma nummer i EU-mallen för försäkran.

Notera: Ett försäkransnummer är inte obligatoriskt, men rekommenderas starkt för versionshantering och intern spårning.

Komplett DoC-mall

Använd detta som utgångspunkt. Anpassa de markerade fälten för din produkt.

Notera: Avsnitt 3 måste ange att försäkran utfärdas på leverantörens eget ansvar. CRA kräver ett uttalande med den innebörden och använder ordet "leverantör". Formuleringen nedan uppfyller kravet.

Vägledning avsnitt för avsnitt

1. Dokumentidentifiering

Försäkransnummer. Inte obligatoriskt, men rekommenderas starkt för versionshantering. Ett praktiskt format är DoC-[Produktkod]-[År]-[Sekvens], till exempel DoC-SSP3000-2027-001.

Utfärdandedatum. Det datum då du undertecknar försäkran. Måste vara efter att bedömningen av överensstämmelse är slutförd.

2. Tillverkaridentifiering

Undertecknaren är en person med behörighet att juridiskt binda tillverkaren. CRA kräver inte i sig att en tillverkarens representant utses. Om en sådan ändå utses och mandatet omfattar dessa uppgifter, får representanten upprätta och underteckna EU-försäkran om överensstämmelse och anbringa CE-märkningen för tillverkarens räkning och under dennes ansvar. Tillverkaren förblir rättsligt ansvarig för produktens överensstämmelse. Om en tillverkarens representant agerar, lägg till en rad som:

Tillverkarens representant: [Namn, adress]
agerar på uppdrag av: [Tillverkarens namn, adress]

3. Produktidentifiering

Var tillräckligt specifik för spårbarhet: ange modellnummer, separata versioner för hårdvara och mjukvara samt omfattningen av batch- eller serienummer.

Exempel:

Produktnamn:    SmartSense Pro Industrial Sensor
Modell/typ:     SSP-3000
Hårdvaruver:    Rev C (PCB v3.2)
Mjukvaruver:    Firmware 2.4.1
Batch/serie:    Serienummer SSP3K-2027-XXXXXX

4. Bedömning av överensstämmelse

Vilken modul du måste använda beror på produktens klassificering. Använd tabellen nedan som vägledning:

Modul	När den gäller	Anmält organ?
Modul A (intern produktionskontroll)	Standardprodukter; viktiga produkter av klass I när relevanta standarder, specifikationer eller system tillämpas fullt ut	Nej
Modul B+C (EU-typkontroll)	Tillgänglig för alla produkter; krävd väg för viktiga produkter av klass I när de inte tillämpas fullt ut; en väg för viktiga produkter av klass II och reservväg för kritiska produkter	Ja
Modul H (fullständig kvalitetssäkring)	Alla produkter; alternativ till B+C för viktiga produkter av klass I och II	Ja
EUCC / cybersäkerhetssystem	Där ett tillämpligt EU-system för cybersäkerhetscertifiering finns, ett certifikat på assuransnivå minst betydande	Tar bort kravet på tredjepartsbedömning, men bara för de krav som certifikatet täcker
Fri och öppen programvara	Fria och öppna programvaruprodukter som uppfyller villkoren, i de viktiga klasserna	Får använda vilken väg som helst inom modul A/B+C/H, inklusive modul A, om den tekniska dokumentationen är offentlig vid marknadsplacering

Notera: Kritiska produkter har en striktare väg för bedömning av överensstämmelse. Använd guiden för bedömning av överensstämmelse för hela vägvalet.

Använd detta flödesschema för att identifiera din väg:

flowchart TD
    A["Vilken produktklass har din produkt?"] --> B["Standard
(ej listad)"]
    A --> C["Viktiga produkter av klass I
(listad klass)"]
    A --> D["Viktiga produkter av klass II
(listad klass)"]
    A --> E["Kritisk
(kritisk lista)"]
    B --> F["Modul A, B+C eller H
ditt val"]
    C --> G{"Standarder, specifikationer eller
system fullt tillämpade?"}
    G -->|Ja| H["Modul A tillgänglig
eller B+C/H"]
    G -->|Nej| I["Modul B+C eller H
anmält organ krävs"]
    D --> J["Modul B+C, H eller ett certifieringssystem
på assuransnivå minst betydande"]
    E --> K["Certifieringsväg om tillämplig
annars tredjepartsvägar"]

5. Tillämpade standarder

Harmoniserade standarder är standarder som publicerats i Europeiska unionens officiella tidning. De skapar en presumtion om överensstämmelse för de krav de täcker. Inkludera fullständig referens: nummer, år, titel.

Format:

EN 303 645:2020, Cyber Security for Consumer Internet of Things: Baseline Requirements

Om inga harmoniserade standarder finns, ange: "Inga harmoniserade standarder tillämpade. Överensstämmelse visas genom [beskriv metod]."

Om ett europeiskt cybersäkerhetscertifikat åberopades under bedömningen av överensstämmelse, ange det med systemets namn och certifikatets referensnummer (detta täcker certifieringsfältet i försäkran).

6. CRA-specifik tilläggsinformation

Detta avsnitt ingår inte i minimimallen, men att ta med det förbättrar den regulatoriska transparensen:

• Stödperiod. Ange när säkerhetsuppdateringarna upphör. Måste vara minst 5 år från att produkten släpps ut på marknaden, eller den förväntade användningstiden om den är kortare.
• Sårbarhetskontakt. Vart rapporter ska skickas, inklusive en hänvisning till din security.txt-fil.

Notera: Slutdatumet för stödperioden måste också anges vid köptillfället. Att ta med det i DoC:n är god praxis, men det ersätter inte informationen vid köptillfället.

7. Underskrift

Vem som helst med behörighet att juridiskt binda tillverkaren kan underteckna. Vanligtvis är det vd, en styrelseledamot, kvalitetschefen eller den regulatoriskt ansvariga. DoC:n måste innehålla undertecknarens fullständiga namn och titel, ort och datum (datumet måste komma efter att bedömningen slutförts) och en underskrift, vanligen handskriven eller en kvalificerad elektronisk underskrift.

När måste CE-märkningen anbringas i förhållande till försäkran om överensstämmelse?

För fysiska produkter ska du anbringa CE-märkningen synligt, läsbart och outplånligt på produkten innan den släpps ut på marknaden. Om det inte är möjligt eller inte är motiverat med hänsyn till produktens art, anbringar du den i stället på förpackningen och på EU-försäkran om överensstämmelse.

För rena mjukvaruprodukter placeras CE-märkningen antingen direkt på EU-försäkran om överensstämmelse, eller på produktens webbplats i en sektion som är lätt och direkt tillgänglig för konsumenter.

När ett anmält organ är inblandat under modul H, ska CE-märkningen följas av det organets identifikationsnummer.

Notera: CE-märkningen måste anbringas innan produkten släpps ut på marknaden, inte efteråt. För mjukvaruprodukter, säkerställ att DoC:n eller webbsidan är publicerad innan någon distribution påbörjas.

Behöver DoC:n översättas?

Ja. DoC:n måste tillhandahållas på det eller de språk som krävs av varje medlemsstat där produkten släpps ut på marknaden.

I praktiken:

• Säljer du bara i Tyskland → en tysk DoC krävs.
• Säljer du i hela EU → du behöver flera språkversioner.
• Behåll alla språkversioner i den tekniska dokumentationen.

Den förenklade DoC:n och URL:en till den fullständiga DoC:n måste också vara på de språk som krävs. Att hålla URL:en stabil och tillgänglig är god praxis.

Behöver varje produktmodell eller version en egen försäkran om överensstämmelse?

En DoC per produkttyp

Varje distinkt produktmodell eller typ behöver i allmänhet en egen DoC.

En enda DoC kan täcka flera varianter när de är varianter av samma typ, samma bedömning av överensstämmelse gäller för dem alla och samma standarder har tillämpats.

Exempel:

Produktnamn:    SmartSense Pro Industrial Sensor
Modell/typ:     SSP-3000 (alla varianter)
                - SSP-3000-WiFi
                - SSP-3000-LoRa
                - SSP-3000-Cellular

När kräver en ändring en ny DoC?

Varning: En väsentlig ändring är en ändring som görs efter att produkten har släppts ut på marknaden och som påverkar dess överensstämmelse med de väsentliga cybersäkerhetskraven, eller som ändrar det avsedda ändamål produkten bedömdes för. Den utlöser ett obligatoriskt krav på ny DoC. En tredje part som både genomför den väsentliga ändringen och tillhandahåller produkten på marknaden blir tillverkare och måste utfärda den nya DoC:n.

Tabellen nedan visar typiska utfall. Använd den lagstadgade prövningen ovan i stället för att behandla en enskild utlösande faktor som automatisk.

Scenario	Ny DoC krävs?
Ny hårdvaruversion som påverkar överensstämmelsen med de väsentliga kraven	Ja, väsentlig ändring
Firmware-uppdatering som breddar attackytan eller höjer cybersäkerhetsrisken	Ja, väsentlig ändring
Firmware-uppdatering som ändrar produktens avsedda ändamål	Ja, väsentlig ändring
Säkerhetspatch (samma arkitektur, ingen ny risk, minskar antalet CVE:er)	Från fall till fall
Ändring av tillämpade harmoniserade standarder eller certifikat för bedömning av överensstämmelse	Från fall till fall, endast om ändringen påverkar de väsentliga kraven eller det bedömda avsedda ändamålet
Kosmetisk ändring, ändring enbart i dokumentationen eller lokaliseringsändring	Nej
Tredje part gör en väsentlig ändring av produkten och tillhandahåller den på marknaden	Ja, tredje parten utfärdar den nya DoC:n som ny tillverkare

För iterativa mjukvarusläpp som inte är väsentliga ändringar förblir den befintliga DoC:n giltig. Du måste kunna visa detta för marknadskontrollmyndigheterna, och uppdateringen av riskbedömningen är hur du gör det.

DoC-distribution

DoC:n måste följa med produkten. Du kan välja mellan:

• den fullständiga DoC:n, eller
• en förenklad DoC som anger den exakta internetadressen där den fullständiga DoC:n publiceras.

Endera formen måste också tillhandahållas på begäran från marknadskontrollmyndigheter och bör vara tillgänglig för kunder på begäran.

Förenklad EU-försäkran om överensstämmelse

Den förenklade formen består av två meningar: tillverkarens försäkran och en URL där den fullständiga texten finns. Den är särskilt användbar för mjukvarudistributioner, hårdvara med begränsat förpackningsutrymme och alla produkter där den fullständiga DoC:n publiceras online.

Kravet på URL:en: CRA kräver bara att den förenklade DoC:n innehåller den exakta internetadressen där den fullständiga DoC:n går att nå. Som praktisk god sed bör du hålla URL:en stabil (ändra den inte efter att produkter har distribuerats), tillgänglig utan registrering eller inloggning, och nedladdningsbar eller utskriftsbar. Den fullständiga DoC:n måste ändå finnas i den tekniska dokumentationen och vara tillgänglig för myndigheter på begäran.

Vanliga misstag

Misstag	Varför det spelar roll	Lösning
Saknade obligatoriska element (till exempel inget uttalande om överensstämmelse, eller saknade uppgifter om anmält organ när ett anmält organ var inblandat)	DoC:n är inte förenlig	Använd checklistan innan du undertecknar; kontrollera varje obligatoriskt element i försäkran
Fel part undertecknar (importören eller distributören undertecknar i stället för tillverkaren)	DoC:n är juridiskt ogiltig	En person med behörighet att binda tillverkaren, eller en tillverkarens representant med mandat för det, undertecknar den. En importör eller distributör kan inte göra det, om de inte har blivit tillverkare
Föråldrade standardreferenser (återkallade eller ersatta standarder listade)	Presumtionen om överensstämmelse går förlorad	Granska tillämpade standarder regelbundet; uppdatera DoC:n när standarderna ändras
Ingen versionshantering (flera DoC-versioner finns utan tydlig aktuell version)	Risk vid revision och tillsyn	Tilldela försäkransnummer; arkivera ersatta versioner
Undertecknar innan bedömningen är klar (DoC:n daterad innan bedömningsaktiviteterna är slutförda)	DoC:n föregår de bevis den bygger på	Slutför alla bedömningsaktiviteter först; datumet på DoC:n måste komma efter bedömningen
Fel språk (DoC:n bara på engelska vid försäljning i en icke-engelsktalande medlemsstat)	Inte förenlig för den marknaden	Översätt DoC:n till varje erforderligt medlemsstatsspråk
Ingen uppdatering efter väsentlig ändring (ursprunglig DoC används fortfarande efter en materiell förändring)	DoC:n täcker en version den aldrig bedömts för	Utfärda en ny DoC närhelst en väsentlig ändring sker

Checklista för DoC-förberedelse

Mallvariationer för DoC

För modul A (egenbedömning)

För modul B+C (tredje part)

För flera förordningar

En enda kombinerad DoC krävs när en produkt omfattas av CRA och annan EU-lagstiftning som också kräver en försäkran om överensstämmelse. Den ska identifiera varje rättsakt, inklusive dess publikationsreferens:

Bevarandekrav

Vad som ska bevaras	Bevarandeperiod	Var
Undertecknad DoC (eller autentiserad kopia)	10 år efter att produkten släppts ut på marknaden, eller under stödperioden om den är längre	Teknisk dokumentation; tillgänglig för myndigheter på begäran
Versionshistorik och ersatta DoC:er	Tillsammans med den aktuella DoC:n	Teknisk dokumentation
Stöddokumentation refererad i DoC:n	Tillsammans med DoC:n	Teknisk dokumentation