Od 11 grudnia 2027 r. oznakowanie CE na produkcie z elementami cyfrowymi potwierdza także zgodność z CRA. Większość producentów przeprowadzi ocenę zgodności samodzielnie, w procedurze kontroli wewnętrznej (moduł A). Udział jednostki notyfikowanej albo certyfikacja są potrzebne tylko dla produktów z załączników III i IV, i to nie zawsze.
- CRA nie wprowadza osobnego certyfikatu dla każdego produktu. Zgodność potwierdza deklaracja zgodności UE producenta i oznakowanie CE.
- Produkty w kategorii domyślnej: producent sam przeprowadza ocenę zgodności (moduł A).
- Ważne produkty klasy I: moduł A jest możliwy, jeśli producent zastosował normy zharmonizowane, wspólne specyfikacje lub certyfikację. W przeciwnym razie potrzebna jest jednostka notyfikowana.
- Ważne produkty klasy II i produkty krytyczne: ocena z udziałem strony trzeciej albo certyfikacja.
- Wystawiając deklarację zgodności UE, producent przyjmuje odpowiedzialność za zgodność produktu.
Jak CRA łączy się z oznakowaniem CE?
CRA jest unijnym prawodawstwem harmonizacyjnym, tak jak dyrektywy, według których producenci elektroniki od lat znakują wyroby CE. Mechanizm jest ten sam: producent wykazuje zgodność w określonej procedurze, sporządza dokumentację techniczną, wystawia deklarację zgodności UE i umieszcza oznakowanie CE. Zmienia się zakres: do wymagań dochodzi cyberbezpieczeństwo produktu i obsługa podatności.
Jeśli produkt podlega kilku aktom przewidującym oznakowanie CE, znak oznacza zgodność z nimi wszystkimi, a producent sporządza jedną deklarację zgodności UE obejmującą wszystkie te akty (art. 30 ust. 5 i art. 28 ust. 3).
Od czego zależy ścieżka oceny zgodności? Kategoria produktu
Ścieżka oceny zgodności zależy od kategorii produktu, a o kategorii decyduje jego podstawowa funkcjonalność. Większość produktów należy do kategorii domyślnej. Załącznik III wymienia ważne produkty klasy I i II, a załącznik IV produkty krytyczne. Im wyższa kategoria, tym większy udział strony trzeciej w ocenie.
| Kategoria | Gdzie opisana | Przykłady z załączników |
|---|---|---|
| Domyślna | Wszystkie produkty spoza załączników III i IV | Większość urządzeń i programów |
| Ważne, klasa I | Załącznik III, 19 pozycji | Routery, modemy i przełączniki, systemy operacyjne, menedżery haseł, produkty z funkcją VPN, mikrokontrolery z funkcjami bezpieczeństwa, produkty inteligentnego domu z funkcjami bezpieczeństwa (np. zamki, kamery, systemy alarmowe) |
| Ważne, klasa II | Załącznik III, 4 pozycje | Hiperwizory, zapory sieciowe i systemy wykrywania włamań, mikroprocesory i mikrokontrolery odporne na manipulacje |
| Krytyczne | Załącznik IV, 3 pozycje | Urządzenia sprzętowe ze skrzynkami zabezpieczającymi, bramy inteligentnych liczników, karty inteligentne i elementy zabezpieczające |
Opisy techniczne kategorii doprecyzowuje rozporządzenie wykonawcze Komisji (UE) 2025/2392. Warto je przeczytać, zanim uznasz, że produkt należy albo nie należy do którejś z klas.
Jakie są ścieżki oceny zgodności w CRA?
CRA przewiduje cztery ścieżki: kontrolę wewnętrzną (moduł A), badanie typu UE z kontrolą produkcji (moduły B i C), pełne zapewnienie jakości (moduł H) oraz europejski program certyfikacji cyberbezpieczeństwa. W kategorii domyślnej producent może wybrać moduł A i przeprowadzić ocenę samodzielnie.
Art. 32 przewiduje cztery ścieżki. Trzy pierwsze opisuje załącznik VIII:
- Moduł A, kontrola wewnętrzna. Producent sam sporządza dokumentację techniczną, zapewnia zgodność procesów projektowania, produkcji i obsługi podatności, umieszcza oznakowanie CE i wystawia deklarację. Bez udziału jednostki notyfikowanej.
- Moduł B + C, badanie typu UE i zgodność z typem. Jednostka notyfikowana bada projekt techniczny produktu i procedury obsługi podatności, a następnie wydaje certyfikat badania typu UE. Producent zapewnia, że produkowane egzemplarze są zgodne z zatwierdzonym typem.
- Moduł H, pełne zapewnienie jakości. Jednostka notyfikowana ocenia i nadzoruje system jakości producenta obejmujący projektowanie, rozwój, testy i obsługę podatności.
- Europejski program certyfikacji cyberbezpieczeństwa, o ile jest dostępny i ma zastosowanie do produktu.
| Kategoria | Dostępne ścieżki | Jednostka notyfikowana |
|---|---|---|
| Domyślna | Moduł A, a jeśli producent chce: B+C, H lub certyfikacja | Niewymagana |
| Ważne, klasa I | Moduł A, jeśli producent zastosował normy zharmonizowane, wspólne specyfikacje lub program certyfikacji. Jeżeli ich nie zastosował, zastosował częściowo albo nie istnieją: B+C lub H | Zależy od zastosowania norm |
| Ważne, klasa II | B+C, H albo europejski program certyfikacji | Wymagana, chyba że producent korzysta z certyfikacji |
| Krytyczne | Europejski certyfikat cyberbezpieczeństwa, jeśli Komisja wprowadzi taki obowiązek aktem delegowanym. W przeciwnym razie jak dla klasy II | Jak dla klasy II albo certyfikacja |
Dla klasy I kluczowe jest więc, czy dla danego typu produktu istnieją normy zharmonizowane, wspólne specyfikacje lub program certyfikacji i czy producent stosuje je w całości. Dopóki dla danego typu produktu nie ma norm zharmonizowanych, wspólnych specyfikacji ani programu certyfikacji, producent ważnego produktu klasy I potrzebuje jednostki notyfikowanej (moduł B+C lub H) w zakresie wymagań, których nie pokrył. Przepisy o notyfikowaniu jednostek stosuje się od 11 czerwca 2026 r.
Wyjątek dotyczy wolnego i otwartego oprogramowania z kategorii załącznika III: jego producent może wybrać dowolną procedurę, także moduł A, jeśli dokumentacja techniczna jest publicznie dostępna (art. 32 ust. 5).
Co zawiera deklaracja zgodności UE i kto ją wystawia?
Deklarację sporządza producent według wzoru z załącznika V. Zawiera m.in. identyfikację produktu, nazwę i adres producenta, oświadczenie o zgodności, odniesienia do zastosowanych norm lub specyfikacji, a gdy uczestniczyła jednostka notyfikowana, także jej nazwę, numer, opis procedury i dane certyfikatu.
- Do produktu dołącza się pełną deklarację albo uproszczoną deklarację zgodności UE z adresem internetowym, pod którym dostępny jest pełny tekst (art. 13 ust. 20).
- Deklarację udostępnia się w językach wymaganych przez państwo, w którym produkt jest wprowadzany do obrotu lub udostępniany.
- Deklarację aktualizuje się w razie potrzeby i przechowuje razem z dokumentacją techniczną co najmniej 10 lat albo przez okres wsparcia, jeśli jest dłuższy.
Art. 28 ust. 4 mówi wprost: sporządzając deklarację zgodności UE, producent przyjmuje na siebie odpowiedzialność za zgodność produktu. Dlatego deklaracja powinna powstawać na końcu, gdy dokumentacja i dowody są kompletne.
Gdzie i kiedy umieścić oznakowanie CE?
Oznakowanie CE umieszcza się przed wprowadzeniem produktu do obrotu, na samym produkcie, w sposób widoczny, czytelny i trwały. Gdy to niemożliwe, na opakowaniu i na dołączonej deklaracji zgodności UE. Dla oprogramowania znak umieszcza się na deklaracji zgodności UE albo na stronie internetowej towarzyszącej oprogramowaniu.
- Znak umieszcza się przed wprowadzeniem produktu do obrotu, w sposób widoczny, czytelny i trwały.
- Jeśli nie da się go umieścić na produkcie, umieszcza się go na opakowaniu i na deklaracji zgodności UE dołączonej do produktu.
- Dla oprogramowania: na deklaracji zgodności UE albo na stronie internetowej towarzyszącej oprogramowaniu.
- Przy module H po znaku CE podaje się numer identyfikacyjny jednostki notyfikowanej.
Sterownik oświetlenia z Wi-Fi. Nie pełni funkcji wymienionych w załączniku III. Kategoria domyślna, moduł A: producent sam przeprowadza ocenę, sporządza dokumentację i dodaje CRA do istniejącej deklaracji zgodności UE.
Inteligentny zamek do drzwi. Produkt inteligentnego domu z funkcjami bezpieczeństwa, czyli ważny produkt klasy I. Jeśli dla tej kategorii są normy zharmonizowane, wspólne specyfikacje lub program certyfikacji i producent stosuje je w całości, może użyć modułu A. Jeśli nie, potrzebuje badania typu UE (B+C) albo oceny systemu jakości (H) w jednostce notyfikowanej.
Co powinien zrobić producent?
Producent powinien najpierw ustalić podstawową funkcjonalność produktu i jego kategorię, potem wybrać ścieżkę oceny zgodności i sprawdzić dostępne normy. Deklarację zgodności UE i oznakowanie CE przygotowuje na końcu, gdy dokumentacja techniczna i dowody są kompletne.
- Ustal podstawową funkcjonalność produktu i porównaj ją z załącznikami III i IV oraz rozporządzeniem wykonawczym (UE) 2025/2392.
- Wybierz ścieżkę oceny zgodności i zapisz uzasadnienie.
- Sprawdź normy. Czy dla Twojego typu produktu są normy zharmonizowane, wspólne specyfikacje lub program certyfikacji i czy możesz zastosować je w całości.
- Jeśli potrzebujesz jednostki notyfikowanej, zaplanuj to wcześnie. Jej ocena opiera się na gotowej dokumentacji i wymaga czasu po obu stronach.
- Przygotuj dokumentację techniczną. Jest wymagana w każdej ścieżce.
- Zaktualizuj deklarację zgodności UE i oznakowanie dopiero wtedy, gdy masz komplet dowodów.
Nie masz pewności, czy produkt w ogóle podlega CRA? Zacznij od artykułu Czy Cyber Resilience Act dotyczy Twojego produktu?.