Dokumentacja techniczna CRA to zbiór dowodów, że produkt i procesy producenta spełniają zasadnicze wymagania cyberbezpieczeństwa. Jej minimalną zawartość określa załącznik VII: opis produktu, opis projektowania i obsługi podatności, ocena ryzyka, uzasadnienie okresu wsparcia, zastosowane normy, raporty z testów i kopia deklaracji zgodności UE. Trzeba ją sporządzić przed wprowadzeniem produktu do obrotu i aktualizować co najmniej przez okres wsparcia.
- Podstawą jest art. 31 i załącznik VII, który wymienia osiem elementów dokumentacji.
- Dokumentację sporządza się przed wprowadzeniem produktu do obrotu i aktualizuje w okresie wsparcia.
- Producent przechowuje ją do dyspozycji organów nadzoru rynku co najmniej 10 lat albo przez okres wsparcia, jeśli jest dłuższy.
- Dokumentacji nie publikuje się i nie wysyła z produktem. Pokazuje się ją organom nadzoru rynku na uzasadniony wniosek, a gdy ocena zgodności wymaga jednostki notyfikowanej, także tej jednostce. Wyjątkiem jest wolne i otwarte oprogramowanie z załącznika III, którego producent korzysta z art. 32 ust. 5: wtedy dokumentacja jest publiczna.
- Mikro- i małe przedsiębiorstwa będą mogły użyć uproszczonego formularza dokumentacji technicznej.
Czym jest dokumentacja techniczna w CRA?
Zgodnie z art. 31 dokumentacja techniczna zawiera wszystkie istotne dane o środkach, które producent zastosował, aby produkt i jego procedury spełniały zasadnicze wymagania z załącznika I. To materiał dowodowy. Na jego podstawie producent wystawia deklarację zgodności UE, a organ nadzoru rynku lub jednostka notyfikowana sprawdza, czy deklaracja ma pokrycie.
Dokumentacja nie jest instrukcją obsługi ani materiałem marketingowym. Informacje i instrukcje dla użytkownika (załącznik II) są tylko jednym z jej elementów.
Co musi zawierać dokumentacja techniczna? Osiem elementów
Dokumentacja musi zawierać co najmniej osiem elementów z załącznika VII: opis produktu, opis projektowania i obsługi podatności, ocenę ryzyka, uzasadnienie okresu wsparcia, wykaz zastosowanych norm, sprawozdania z testów, kopię deklaracji zgodności UE oraz, na wniosek organu, SBOM. Stosuje się te elementy, które mają zastosowanie do danego produktu.
| Pkt | Element | Co zawiera |
|---|---|---|
| 1 | Ogólny opis produktu | Przeznaczenie, wersje oprogramowania mające wpływ na zgodność, dla sprzętu zdjęcia lub ilustracje cech zewnętrznych, oznakowania i układu wewnętrznego, informacje i instrukcje dla użytkownika |
| 2 | Opis projektowania, opracowywania i produkcji oraz procedur obsługi podatności | Informacje o projekcie, w stosownych przypadkach rysunki, schematy i opis architektury systemu. SBOM, polityka skoordynowanego ujawniania podatności, dowód podania adresu do zgłaszania podatności, opis bezpiecznej dystrybucji aktualizacji. Opis procesów produkcji i monitorowania oraz ich walidacji |
| 3 | Ocena ryzyka w cyberprzestrzeni | Ocena z art. 13, w tym sposób zastosowania zasadniczych wymagań z załącznika I część I |
| 4 | Okres wsparcia | Informacje, które producent uwzględnił, ustalając okres wsparcia |
| 5 | Normy i specyfikacje | Wykaz zastosowanych norm zharmonizowanych, wspólnych specyfikacji lub programów certyfikacji. Jeśli ich nie zastosowano: opis rozwiązań przyjętych w celu spełnienia wymagań |
| 6 | Sprawozdania z testów | Wyniki testów potwierdzających zgodność produktu i procedur obsługi podatności z załącznikiem I |
| 7 | Deklaracja zgodności UE | Kopia deklaracji |
| 8 | SBOM na wniosek organu | W stosownych przypadkach, na uzasadniony wniosek organu nadzoru rynku, jeśli jest to niezbędne do sprawdzenia zgodności |
Ocena ryzyka jest osią dokumentacji
Pozostałe elementy wynikają z oceny ryzyka. To w niej producent wskazuje, które wymagania załącznika I stosują się do produktu i jak je wdrożył. Jeśli uznaje, że któreś wymaganie nie ma zastosowania, dokumentacja musi zawierać wyraźne uzasadnienie (art. 13 ust. 4). Ogólna ocena bez odniesienia do konkretnego produktu nie spełni tej funkcji.
Kiedy sporządzić dokumentację i jak długo ją przechowywać?
Dokumentację sporządza się przed wprowadzeniem produktu do obrotu i aktualizuje co najmniej przez okres wsparcia. Producent przechowuje ją do dyspozycji organów nadzoru rynku przez co najmniej 10 lat od wprowadzenia produktu do obrotu albo przez okres wsparcia, jeśli jest dłuższy.
- Przed wprowadzeniem do obrotu. Dokumentacja musi istnieć, zanim produkt trafi na rynek (art. 31 ust. 2). Bez niej nie ma podstawy do deklaracji zgodności i oznakowania CE.
- Aktualizacja. W razie potrzeby dokumentację aktualizuje się na bieżąco, co najmniej przez okres wsparcia. Nowa wersja firmware, zmiana komponentu albo nowa podatność mogą wymagać zmian w ocenie ryzyka, SBOM i raportach z testów.
- Przechowywanie. Producent przechowuje dokumentację i deklarację zgodności UE do dyspozycji organów nadzoru rynku przez co najmniej 10 lat po wprowadzeniu produktu do obrotu albo przez okres wsparcia, zależnie od tego, który okres jest dłuższy (art. 13 ust. 13).
Czy mała firma może przygotować uproszczoną dokumentację?
Mikroprzedsiębiorstwa i małe przedsiębiorstwa mogą przedstawić wszystkie elementy dokumentacji w uproszczonym formacie (art. 33 ust. 5). Wzór, czyli uproszczony formularz dokumentacji technicznej, określa Komisja w akcie wykonawczym, a jednostki notyfikowane mają go akceptować. Uproszczenie dotyczy formy. Formularz obejmuje wszystkie elementy, które mają zastosowanie do produktu, więc oceny ryzyka, SBOM i testów nadal nie da się pominąć.
Skąd wziąć treść? Kto w firmie co przygotowuje
Większość informacji już w firmie istnieje, tylko w różnych miejscach: w repozytorium, w systemie zgłoszeń, w głowach inżynierów. Poniższy podział jest propozycją organizacji pracy, a nie wymaganiem przepisów.
| Element | Kto zwykle ma dane | Typowe źródło |
|---|---|---|
| Opis produktu, wersje, zdjęcia | Kierownik produktu, konstruktor | Karta produktu, dokumentacja konstrukcyjna |
| Architektura, schematy | Zespół sprzętu i firmware | Dokumentacja projektowa, repozytorium |
| SBOM | Zespół firmware, DevOps | Generowany w procesie budowania |
| Polityka CVD, adres kontaktowy, obsługa podatności | Osoba odpowiedzialna za bezpieczeństwo produktu | Procedury, strona internetowa |
| Ocena ryzyka | Bezpieczeństwo produktu razem z R&D | Warsztat i analiza zagrożeń dla produktu |
| Okres wsparcia | Kierownik produktu, zarząd | Decyzja biznesowa z uzasadnieniem |
| Raporty z testów | QA, laboratorium, zewnętrzni testerzy | Wyniki testów bezpieczeństwa i skanów |
| Deklaracja zgodności UE | Osoba odpowiedzialna za zgodność i CE | Wzór z załącznika V |
Producent sterownika pomp ma schematy, opis protokołu i wyniki testów EMC. Nie ma spisanej oceny ryzyka cyberbezpieczeństwa, SBOM ani polityki CVD, a testy bezpieczeństwa wykonał raz, dwa lata temu. Do dokumentacji CRA wykorzysta opis produktu i architektury. Brakujące elementy musi wytworzyć: ocenę ryzyka z udziałem zespołu firmware, SBOM z procesu budowania, politykę CVD z adresem kontaktowym i aktualne testy.
Jakie błędy w dokumentacji zdarzają się najczęściej?
W praktyce najczęstsze błędy to pisanie dokumentacji dopiero na końcu projektu, użycie ogólnego szablonu zamiast opisu konkretnego produktu, brak powiązania z wersją oprogramowania, ręcznie tworzony SBOM i brak osoby, która aktualizuje dokumentację po wprowadzeniu produktu do obrotu.
- Dokumentacja pisana na końcu. Decyzji projektowych nie da się wiarygodnie odtworzyć po fakcie. Lepiej zbierać dowody w trakcie rozwoju produktu.
- Szablon zamiast produktu. Ocena ryzyka, która pasuje do każdego urządzenia, nie uzasadnia wyborów dla żadnego.
- Brak powiązania z wersją. Dokumentacja musi wskazywać wersje oprogramowania, których dotyczy.
- SBOM tworzony ręcznie. Po pierwszej aktualizacji przestaje być prawdziwy.
- Brak właściciela. Po wprowadzeniu produktu nikt nie aktualizuje dokumentacji, choć obowiązek trwa przez okres wsparcia.
Co powinien zrobić producent?
Producent powinien zrobić spis posiadanych materiałów według ośmiu punktów załącznika VII, wyznaczyć właściciela dokumentacji i zacząć od oceny ryzyka. Elementy, które zmieniają się z każdą wersją, takie jak SBOM i wyniki skanów, warto generować automatycznie.
- Zrób spis tego, co już masz, według ośmiu punktów załącznika VII.
- Wyznacz właściciela dokumentacji dla każdego produktu lub rodziny produktów.
- Zacznij od oceny ryzyka. Od niej zależy treść pozostałych elementów.
- Zautomatyzuj to, co się zmienia: SBOM, listę wersji, wyniki skanów.
- Ustal zasady aktualizacji. Które zmiany w produkcie wymagają przeglądu dokumentacji i kto go zatwierdza.
- Zaplanuj przechowywanie na co najmniej 10 lat, razem z wersjami archiwalnymi.
Dokumentacja jest podstawą oceny zgodności i deklaracji zgodności UE. Kolejny krok opisujemy w artykule CRA a oznakowanie CE: ocena zgodności produktów cyfrowych. Wymagania, które dokumentacja ma potwierdzać, znajdziesz w artykule CRA dla producentów IoT i elektroniki.