Ocena zgodności na podstawie unijnego Aktu w sprawie cyberodporności
Sytance · Zaktualizowano
Ocena zgodności w ramach CRA to procedura prawna służąca wykazaniu, że produkt objęty zakresem rozporządzenia oraz procesy producenta spełniają wymagania załącznika I. Kategoria produktu określa dostępne lub wymagane ścieżki oceny.
Przedmiot oceny
Producent przeprowadza ocenę zgodności produktu z elementami cyfrowymi oraz wdrożonych przez siebie procesów, aby ustalić, czy spełniono zasadnicze wymogi cyberbezpieczeństwa określone w załączniku I.
Rozporządzenie (UE) 2024/2847, art. 32 ust. 1
Artykuł 32 dotyczy obu części załącznika I. Produkt musi spełniać wymogi cyberbezpieczeństwa produktu określone w części I. Procesy producenta dotyczące obsługi podatności muszą spełniać wymagania części II.
Pozytywny wynik oceny stanowi podstawę dokumentacji technicznej, deklaracji zgodności UE i oznakowania CE. Nie zmienia kategorii produktu. To kategoria decyduje, które ścieżki oceny są dostępne.
Ścieżki oceny zgodności
Artykuł 32 wskazuje cztery ścieżki. Wybór zależy głównie od kategorii produktu, zastosowania norm zharmonizowanych lub wspólnych specyfikacji oraz możliwości skorzystania z właściwego europejskiego systemu certyfikacji cyberbezpieczeństwa.
Moduł A
Kontrola wewnętrzna. Producent ocenia produkt i na własną odpowiedzialność deklaruje zgodność.
Moduł B i moduł C
Jednostka notyfikowana bada typ produktu. Następnie producent prowadzi kontrolę produkcji pod kątem zgodności z tym typem.
Moduł H
Pełne zapewnienie jakości. Jednostka notyfikowana ocenia system jakości producenta w odniesieniu do produktów objętych zakresem.
Certyfikacja cyberbezpieczeństwa
Można skorzystać z właściwego europejskiego systemu certyfikacji cyberbezpieczeństwa, gdy art. 27 lub art. 8 udostępnia taką ścieżkę.
Klasyfikacja i wybór ścieżki
Produkty kategorii domyślnej mogą podlegać kontroli wewnętrznej. W przypadku produktów ważnych i krytycznych, w tym produktów klasy I, których właściwe wymagania nie są w pełni objęte odpowiednimi normami, wspólnymi specyfikacjami lub certyfikacją, obowiązują bardziej rygorystyczne ścieżki oceny.
Produkty kategorii domyślnej mogą korzystać ze ścieżki określonej w art. 32 ust. 1, w tym z modułu A. Producent może mimo to wybrać bardziej rygorystyczną ścieżkę.
Produkty klasy I mogą pozostać w ścieżce z art. 32 ust. 1 wyłącznie w odniesieniu do wymagań objętych zastosowanymi normami zharmonizowanymi, wspólnymi specyfikacjami lub certyfikacją na poziomie zaufania co najmniej „istotny”. W odniesieniu do pozostałych wymagań konieczny jest moduł B i C albo moduł H.
Produkty klasy II podlegają modułowi B i C, modułowi H albo właściwemu europejskiemu systemowi certyfikacji cyberbezpieczeństwa na poziomie zaufania co najmniej „istotny”.
Produkty krytyczne z załącznika IV podlegają certyfikacji na podstawie art. 8 ust. 1, jeżeli uruchomiona zostanie ta ścieżka. Jeśli warunki z art. 8 ust. 1 nie są spełnione, stosuje się do nich ścieżki dla klasy II określone w art. 32 ust. 3.
Ważne wolne i otwarte oprogramowanie wymienione w załączniku III może korzystać ze ścieżek określonych w art. 32 ust. 1, jeżeli dokumentacja techniczna wymagana na mocy art. 31 jest publicznie dostępna w chwili wprowadzenia produktu do obrotu.
Normy i certyfikacja
Artykuł 27 wyjaśnia, w jaki sposób normy, wspólne specyfikacje i certyfikacja cyberbezpieczeństwa mogą wspierać ocenę zgodności. Nie są one tym samym i nie wywołują identycznych skutków prawnych.
- Norma zharmonizowana daje domniemanie zgodności wyłącznie w odniesieniu do wymagań załącznika I objętych opublikowanym odniesieniem do tej normy.
- Wspólna specyfikacja może również ustanowić domniemanie zgodności w zakresie objętych nią wymagań.
- Europejski certyfikat cyberbezpieczeństwa może ustanowić domniemanie zgodności dla objętych nim wymagań.
- Certyfikat określony w akcie delegowanym na podstawie art. 27 ust. 9, o poziomie zaufania co najmniej „istotnym”, może znieść obowiązek oceny przez stronę trzecią w odniesieniu do odpowiadających mu wymagań.
Dokumentacja, deklaracja i oznakowanie CE
Przed wprowadzeniem produktu do obrotu producent sporządza dokumentację techniczną i deklarację zgodności UE. Deklaracja potwierdza spełnienie mających zastosowanie wymagań załącznika I. Dokumentację należy w razie potrzeby aktualizować w okresie wsparcia.
- Dokumentacja techniczna zawiera dane lub szczegóły wykorzystane do wykazania, że produkt i procesy spełniają załącznik I.
- Deklarację zgodności UE sporządza się zgodnie ze strukturą wzoru w załączniku V albo — gdy zastosowano tę możliwość — w uproszczonym trybie z załącznika VI.
- Oznakowanie CE umieszcza się przed wprowadzeniem produktu do obrotu; w przypadku oprogramowania może ono znajdować się w deklaracji lub na stronie internetowej towarzyszącej produktowi.
- Jeśli zastosowano moduł H, po oznakowaniu CE umieszcza się numer identyfikacyjny jednostki notyfikowanej.