Klasa produktu to początek, nie cała decyzja
Module A dostępny
Producent może wybrać internal control, nadal odpowiadając za risk assessment, dokumentację, deklarację zgodności i CE.
Self-assessment warunkowy
Wymaga pełnej właściwej podstawy i pokrycia co najmniej wszystkich ryzyk core functionality; inaczej potrzebna jest strona trzecia.
Bardziej rygorystyczna ścieżka
Właściwa procedura z udziałem strony trzeciej lub kwalifikujący europejski program certyfikacji.
Norma: cztery statusy do sprawdzenia
- Document status: draft, final draft czy przyjęta EN.
- Formal status: czy została przywołana w Dzienniku Urzędowym UE.
- Scope: które konkretne wymagania CRA obejmuje.
- Risk coverage: czy pełne zastosowanie pokrywa ryzyka core functionality produktu.
Śledzone obecnie vertical standards ETSI są final drafts w Public Enquiry i nie są normami zharmonizowanymi. Mogą pomagać przygotować wymagania oraz gap analysis, lecz dziś nie otwierają samodzielnie ścieżki self-assessment.
Jak przygotować wybór strony trzeciej?
Zamroź granicę produktu i wspierane wersje, potwierdź core functionality i kategorię, utwórz applicability oraz coverage matrix, zbierz risk assessment, test evidence, SBOM i lifecycle records. Dopiero z takim pakietem porównuj zakres jednostki notyfikowanej lub właściwego programu certyfikacji. Partner Network działa wyłącznie na podstawie odrębnej zgody na przekazanie danych.
Najczęstsze pytania
Czy każdy produkt CRA może użyć Module A?
Produkty default mogą korzystać z internal control. Dla important Class I możliwość jest warunkowa; Class II i critical zasadniczo wymagają bardziej rygorystycznej ścieżki z udziałem strony trzeciej lub właściwego programu certyfikacji.
Czy final draft ETSI pozwala na self-assessment?
Nie samodzielnie. Dokument w Public Enquiry nie jest jeszcze normą zharmonizowaną i nie daje domniemania zgodności. Trzeba potwierdzić przyjęcie, przywołanie w OJEU i zakres zastosowania.
Czy norma zharmonizowana automatycznie daje pełną zgodność?
Domniemanie zgodności działa tylko dla wymagań i zakresu objętych normą. Dla Class I trzeba także ustalić pokrycie ryzyk core functionality, a wszystkie pozostałe ryzyka nadal wymagają środków i dowodów.
Czy wbudowany firewall klasyfikuje cały produkt jako Class II?
Nie automatycznie. Guidance kładzie nacisk na core functionality całego produktu. Moduł osobno sprzedawany, licencjonowany lub subskrybowany może być odrębnym produktem.
Kiedy potrzebna jest jednostka notyfikowana?
W szczególności dla Class II i critical oraz dla Class I bez pełnej kwalifikującej podstawy self-assessment. Konkretna procedura może obejmować Module B+C lub Module H; aktualną dostępność trzeba potwierdzić na dzień decyzji.
Oficjalne źródła
Reguły narzędzia opierają się na źródłach pierwotnych. Materiały guidance są niewiążące i nie zastępują oceny konkretnego przypadku ani aktualnego tekstu prawa.