Na czym polega CRA conformity assessment?
Producent ocenia zarówno sam produkt, jak i ustanowione przez siebie procesy projektowania, rozwoju, produkcji oraz obsługi podatności. Celem jest wykazanie spełnienia odpowiednich wymagań z Annex I Cyber Resilience Act, a nie uzyskanie ogólnego wyniku bezpieczeństwa.
Ocena zgodności nie zaczyna się od wyboru formularza ani naniesienia CE. Najpierw trzeba ustalić granicę produktu i jego klasyfikację, przeprowadzić cybersecurity risk assessment, wdrożyć wymagania, zgromadzić dowody oraz sprawdzić, które normy, wspólne specyfikacje lub programy certyfikacji rzeczywiście mogą zostać użyte.
Ocena zgodności CRA krok po kroku
| Krok | Decyzja lub działanie | Rezultat |
|---|---|---|
| 1. Scope | Potwierdź produkt z elementami cyfrowymi, rolę producenta i granicę rozwiązania | Udokumentowana decyzja o zakresie |
| 2. Classification | Porównaj core functionality z Annex III i Annex IV | Default, important Class I/II albo critical |
| 3. Requirements | Wykonaj risk assessment i mapowanie Annex I | Wymagania, środki i ryzyka rezydualne |
| 4. Formal basis | Sprawdź normy zharmonizowane, wspólne specyfikacje i certyfikację | Coverage matrix i aktualny status podstaw |
| 5. Procedure | Wybierz Module A, Module B+C, Module H albo dostępną ścieżkę certyfikacji | Plan oraz dowody oceny zgodności |
| 6. Market readiness | Zamknij dokumentację, deklarację zgodności UE i zasady CE | Pakiet przed placing on the market |
Która procedura oceny zgodności dotyczy produktu?
Art. 32 CRA przewiduje Module A, badanie typu UE w Module B połączone z Module C, pełne zapewnienie jakości w Module H oraz — gdy jest dostępny i ma zastosowanie — właściwy europejski program certyfikacji cyberbezpieczeństwa. Dostępność konkretnej ścieżki wynika z kategorii produktu i spełnionych warunków, a nie z preferencji marketingowej.
| Kategoria | Module A | Third-party assessment |
|---|---|---|
| Default | Dostępny co do zasady | B+C lub H mogą zostać wybrane dobrowolnie |
| Important Class I | Warunkowo, przy pełnym zastosowaniu właściwej podstawy | B+C albo H dla wymagań bez pełnego pokrycia |
| Important Class II | Nie jako zwykła samodzielna ścieżka | B+C, H albo dostępny i właściwy program certyfikacji |
| Critical | Nie jako zwykła samodzielna ścieżka | Ścieżka z art. 32 ust. 4; jej aktualne warunki trzeba potwierdzić |
CRA Module A – wewnętrzna kontrola produkcji
Module A jest procedurą internal control. Producent na własną odpowiedzialność zapewnia i deklaruje, że produkt oraz jego procesy spełniają właściwe wymagania Annex I. Sporządza dokumentację techniczną, kontroluje projektowanie, rozwój, produkcję i vulnerability handling, przygotowuje deklarację zgodności UE oraz nanosi CE.
Self-assessment nie oznacza samooceny w postaci krótkiej checklisty. Odpowiedzialność za kompletność analizy, adekwatność środków, wyniki testów i prawdziwość deklaracji pozostaje po stronie producenta. Produkty default mogą korzystać z Module A również wtedy, gdy producent nie stosuje właściwej normy zharmonizowanej w całości.
Kiedy CRA self-assessment jest możliwy?
Dla default products Module A jest co do zasady dostępny. Producent może także dobrowolnie wybrać bardziej rygorystyczną ścieżkę z udziałem strony trzeciej.
Dla important Class I self-assessment jest warunkowy. Jeżeli producent nie zastosował, zastosował tylko częściowo albo nie może zastosować właściwych norm zharmonizowanych, wspólnych specyfikacji lub kwalifikującego programu certyfikacji na warunkach art. 32 ust. 2, odpowiednie wymagania muszą zostać objęte procedurą B+C albo H.
Szczególna reguła z art. 32 ust. 5 dotyczy kwalifikującego się free and open-source software z Annex III: producent może korzystać z procedur z ust. 1, jeżeli dokumentacja techniczna jest publicznie dostępna przy wprowadzeniu produktu do obrotu. Sam publiczny kod nie wystarcza do zastosowania tego wyjątku.
Kiedy potrzebna jest CRA third-party assessment?
Udział strony trzeciej jest potrzebny dla important Class I w zakresie, w którym nie są spełnione warunki samoceny z art. 32 ust. 2. Important Class II korzysta z Module B+C, Module H albo — gdy jest dostępny i ma zastosowanie — programu certyfikacji na poziomie assurance co najmniej substantial.
Dla critical products art. 32 ust. 4 odsyła najpierw do europejskiego programu certyfikacji określonego zgodnie z art. 8 ust. 1, a gdy warunki tej ścieżki nie są spełnione — do procedur przewidzianych dla Class II. Komisja wskazuje, że dokładne warunki przyszłego wykorzystania programu certyfikacji wymagają aktu delegowanego, dlatego aktualną podstawę trzeba sprawdzić przed wyborem procedury.
Module B+C – badanie typu UE i zgodność z typem
W Module B jednostka notyfikowana bada projekt techniczny produktu i procesy vulnerability handling. Analizuje dokumentację oraz dowody, a także wykonuje lub zleca właściwe badania i testy. Jeżeli wymagania są spełnione, wydaje producentowi certyfikat badania typu UE.
Module C następuje po Module B. Producent zapewnia zgodność wytwarzanych lub rozwijanych produktów z zatwierdzonym typem i właściwymi wymaganiami, a następnie sporządza deklarację zgodności UE i nanosi CE. Certyfikat typu nie przenosi odpowiedzialności producenta za produkt ani późniejsze zmiany.
Module H – pełne zapewnienie jakości
Module H opiera ocenę na zatwierdzonym systemie jakości obejmującym projektowanie, rozwój, produkcję, kontrolę końcową i testowanie produktu oraz vulnerability handling. Jednostka notyfikowana ocenia system jakości i prowadzi nadzór.
Ta ścieżka wymaga nie tylko dokumentów produktu, lecz także powtarzalnego, audytowalnego procesu organizacyjnego. Gdy jednostka notyfikowana uczestniczy w procedurze pełnego zapewnienia jakości, jej numer identyfikacyjny umieszcza się po oznakowaniu CE zgodnie z art. 30 ust. 4 CRA.
CRA notified body – czym jest jednostka notyfikowana?
Jednostka notyfikowana to conformity assessment body oceniona, wyznaczona i notyfikowana przez państwo członkowskie do działania w określonym zakresie CRA. Samo doświadczenie laboratorium w cyberbezpieczeństwie nie oznacza jeszcze notyfikacji do właściwej procedury i kategorii produktu.
Komisja publikuje jednostki notyfikowane w bazie NANDO. Przed wyborem trzeba sprawdzić podstawę notyfikacji, zakres kompetencji, właściwe moduły, kategorie produktów, język dokumentacji, dostępność oraz warunki obsługi zmian produktu. Umowę i zakres oceny warto ustalić odpowiednio wcześnie, ale samo zgłoszenie do jednostki nie jest potwierdzeniem zgodności.
- potwierdź wpis i dokładny zakres notyfikacji w NANDO
- porównaj zakres jednostki z kategorią i core functionality produktu
- ustal wersje, warianty i proces zmian objęte oceną
- uzgodnij oczekiwane dowody, próbki, testy i język dokumentacji
Normy zharmonizowane a ocena zgodności CRA
Norma wspiera ocenę tylko w zakresie wymagań objętych jej treścią i formalnym przywołaniem. Trzeba odróżnić draft, final draft, przyjętą normę EN oraz normę zharmonizowaną, której odniesienie opublikowano w Dzienniku Urzędowym UE. Dokument konsultacyjny nie tworzy samodzielnie domniemania zgodności.
Dla Class I samo dopasowanie numeru normy do produktu nie wystarcza. Producent powinien udokumentować, czy instrument został zastosowany w całości w wymaganym zakresie oraz które ryzyka związane z core functionality pokrywa. Pozostałe wymagania i ryzyka nadal potrzebują środków oraz dowodów.
Jakie dowody przygotować do conformity assessment?
Annex VII CRA wymaga dokumentacji pozwalającej ocenić zgodność produktu i procesów. Pakiet powinien być związany z konkretnym produktem, wersją i okresem wsparcia, a nie z ogólną deklaracją organizacji.
- opis produktu, intended purpose, architektura i wersje wpływające na zgodność
- cybersecurity risk assessment oraz mapowanie wymagań Annex I
- opis design, development, production i vulnerability handling
- SBOM, coordinated vulnerability disclosure i bezpieczna dystrybucja aktualizacji
- coverage matrix norm, wspólnych specyfikacji lub certyfikacji
- raporty z testów oraz uzasadnienie rozwiązań dla niepokrytych wymagań
- EU declaration of conformity i identyfikacja ocenianego produktu
CRA CE marking i deklaracja zgodności UE
Po wykazaniu spełnienia odpowiednich wymagań producent sporządza deklarację zgodności UE i przyjmuje odpowiedzialność za zgodność produktu. Oznakowanie CE nanosi się przed wprowadzeniem produktu do obrotu. CE nie zastępuje risk assessment, dokumentacji ani właściwej procedury i nie jest przyznawanym przez Komisję znakiem jakości cyberbezpieczeństwa.
Dla produktu materialnego CE powinno być widoczne, czytelne i trwałe na produkcie, a gdy nie jest to możliwe lub uzasadnione jego naturą — na opakowaniu i w deklaracji. Dla software CE umieszcza się w deklaracji zgodności UE albo na łatwo i bezpośrednio dostępnej stronie internetowej towarzyszącej produktowi.
Jeżeli produkt podlega także innym aktom harmonizacyjnym UE wymagającym deklaracji zgodności, przygotowuje się jedną deklarację obejmującą wszystkie właściwe akty i ich odniesienia. Treść deklaracji musi identyfikować konkretny produkt.
Przykłady ścieżek oceny zgodności CRA
| Przykład | Punkt wyjścia | Co sprawdzić |
|---|---|---|
| Aplikacja mobilna kategorii default | Module A może być dostępny | Risk assessment, Annex I, testy, dokumentacja, deklaracja UE i CE |
| Samodzielny password manager Class I | Self-assessment warunkowy | Pełne zastosowanie właściwej podstawy albo Module B+C/H |
| Router Class I | Self-assessment warunkowy | Core functionality, opis kategorii i pokrycie wymagań |
| Firewall Class II | Third-party route | Module B+C, H albo właściwy dostępny program certyfikacji |
| HSM odpowiadający Annex IV | Critical route | Aktualne warunki art. 8 i art. 32 ust. 4 |
Kiedy rozpocząć przygotowanie do oceny zgodności?
Nie należy czekać do gotowego release'u. Klasyfikacja, strategia dowodowa i wybór potencjalnej jednostki wpływają na architekturę produktu, testy, proces wytwarzania, obsługę podatności oraz sposób kontroli zmian. Najbezpieczniej włączyć conformity assessment plan do product lifecycle przed zamrożeniem projektu i pierwszym placing on the market.
Wynik bezpłatnego Navigatora może uporządkować możliwą ścieżkę i braki informacyjne. Nie jest oceną zgodności ani decyzją jednostki notyfikowanej, opinią prawną, certyfikatem lub potwierdzeniem zgodności produktu z CRA.
Ocena zgodności CRA – najczęstsze pytania
Czy CRA zawsze wymaga jednostki notyfikowanej?
Nie. Dla produktów default dostępny jest co do zasady Module A. Dla Class I samocena jest warunkowa, a Class II i critical korzystają z bardziej rygorystycznych ścieżek określonych w art. 32.
Czy CRA self-assessment oznacza brak testów zewnętrznych?
Module A nie narzuca udziału jednostki notyfikowanej, ale producent musi mieć adekwatne dowody zgodności. Może zlecać testy laboratorium, zachowując odpowiedzialność za całą procedurę i deklarację.
Czy certyfikat badania typu UE pozwala od razu nanieść CE?
Module B jest częścią ścieżki B+C. Po badaniu typu producent musi jeszcze zapewnić zgodność produktu z zatwierdzonym typem w Module C, spełnić pozostałe obowiązki, sporządzić deklarację UE i dopiero wtedy zastosować CE.
Czy jednostka notyfikowana odpowiada za zgodność produktu?
Jednostka wykonuje zadania właściwe dla wybranego modułu, ale producent nadal odpowiada za produkt, procesy, dokumentację, deklarację zgodności UE i działania w całym okresie wsparcia.
Czy oznakowanie CE jest certyfikatem cyberbezpieczeństwa?
Nie. CE sygnalizuje deklarowaną zgodność z właściwymi wymaganiami unijnego prawodawstwa harmonizacyjnego po przeprowadzeniu wymaganej procedury. Nie jest oceną poziomu bezpieczeństwa ani gwarancją braku podatności.
Oficjalne źródła
Podstawa materiału została sprawdzona 9 września 2026.