Lista kontrolna dokumentacji technicznej CRA

Obowiązek sporządzenia dokumentacji

Dokumentacja techniczna zawiera wszystkie odpowiednie dane lub szczegóły dotyczące środków zastosowanych przez producenta w celu zapewnienia zgodności produktu z elementami cyfrowymi i wdrożonych przez producenta procesów z zasadniczymi wymogami cyberbezpieczeństwa określonymi w załączniku I. Zawiera co najmniej elementy wskazane w załączniku VII.

Rozporządzenie (UE) 2024/2847, art. 31 ust. 1

Artykuł 31 wymaga, aby dokumentacja wyjaśniała, jak produkt i procesy producenta spełniają wymagania załącznika I. Obejmuje więc zarówno projekt produktu, jak i ustalenia dotyczące obsługi podatności po jego wydaniu.

Terminy i aktualizacje

Dokumentację techniczną sporządza się przed wprowadzeniem produktu z elementami cyfrowymi do obrotu, a następnie aktualizuje na bieżąco, w razie potrzeby, co najmniej w okresie wsparcia.

Rozporządzenie (UE) 2024/2847, art. 31 ust. 2

Dokumentacja techniczna musi istnieć przed wprowadzeniem produktu do obrotu. W okresie wsparcia należy ją aktualizować, gdy istotne zmiany tego wymagają.

• Zmiana projektu produktu, architektury, wersji oprogramowania lub metody aktualizacji może wymagać aktualizacji dokumentacji.
• Zmiana oceny ryzyka cyberbezpieczeństwa może wymagać aktualizacji dokumentacji.
• Nowe informacje o podatnościach mogą wymagać aktualizacji dokumentacji.
• Dokumentacja przeprojektowanego lub ponownie ocenionego produktu powinna wskazywać zmienione wersje.

Zawartość załącznika VII

Załącznik VII określa minimalny zakres informacji. Najlepiej traktować go jako wykaz kategorii dowodów, a nie wzór tabeli. Dokładny poziom szczegółowości zależy od danego produktu.

Lista kontrolna załącznika VII dla wydania produktu

Poniższy indeks odpowiada ośmiu pozycjom załącznika VII. Pokazuje przykładowy sposób uporządkowania informacji; nie określa wymaganego układu folderów ani obowiązku eksportowania ośmiu oddzielnych plików. Każdy wskazany rejestr powinien identyfikować produkt i wersję, których dotyczy.

1. Opis produktu: przeznaczenie, wersje oprogramowania wpływające na zgodność, odpowiednie obrazy sprzętu i oznakowania oraz informacje dla użytkownika z załącznika II.
2. Projekt i procesy: architektura i relacje komponentów; obsługa podatności, SBOM, polityka ujawniania, kontaktowy adres zgłoszeń i bezpieczne aktualizacje; produkcja, monitorowanie i walidacja procesów.
3. Ocena ryzyka cyberbezpieczeństwa: ryzyka produktu oraz uzasadnienie dotyczące zastosowania wymagań dotyczących produktu z części I załącznika I.
4. Okres wsparcia: informacje użyte do ustalenia jego długości.
5. Normy i rozwiązania techniczne: zastosowane przepisy, ich status i zakres wykorzystania oraz rozwiązania zastosowane w odniesieniu do nieobjętych wymagań.
6. Raporty z weryfikacji: testy produktu i procesów obsługi podatności pod kątem mających zastosowanie zasadniczych wymagań.
7. Deklaracja zgodności UE: deklaracja dotycząca ocenianego produktu.
8. SBOM na wniosek organu: właściwy SBOM przekazywany na uzasadniony wniosek organu nadzoru rynku, jeśli jest mu potrzebny do sprawdzenia zgodności z załącznikiem I.

W przypadku fikcyjnego wydania 1.2 sterownika indeks mógłby wskazywać opis wydania, rewizję architektury, ocenę ryzyka, SBOM, testy aktualizacji oraz instrukcje użytkownika dotyczące tego wydania. Nowsza ocena ryzyka zestawiona ze starszym raportem z testu oprogramowania układowego wymaga wyjaśnienia, czy przetestowane środki nadal mają zastosowanie.

Sprawdź kompletność względem informacji wymaganych w odpowiednim zakresie załącznika VII oraz wersji ocenianego produktu. Indeks dokumentacji pomaga recenzentom odnaleźć analizy i wyniki uzasadniające poszczególne wnioski, w tym informacje nadal brakujące.

Powiązania między dowodami

Ocena ryzyka wyjaśnia wybór środków bezpieczeństwa; rejestry komponentów identyfikują oprogramowanie chronione przez te środki; rejestry obsługi podatności pokazują, co dzieje się po wykryciu nowego problemu. Poniższe strony opisują treść i wykorzystanie każdego z tych rejestrów.

Ocena ryzyka

Artykuł 13 ust. 4 włącza ocenę ryzyka cyberbezpieczeństwa do dokumentacji technicznej. Ocena wyjaśnia zastosowanie załącznika I do produktu, w tym powody, dla których wymaganie dotyczące właściwości produktu nie ma zastosowania, jeśli taki wniosek wyciągnął producent.

Zgodnie z FAQ Komisji dokumentacja musi być dostępna w chwili wprowadzania produktu do obrotu — niezależnie od tego, czy wytworzono go w UE, czy poza nią. FAQ wskazuje również, że późniejsze przeprojektowanie i ponowna ocena powinny znaleźć odzwierciedlenie w dokumentacji technicznej.

Ocena zgodności i wykorzystanie przez organy

Dokumentacja techniczna służy przede wszystkim ocenie zgodności i nadzorowi rynku. FAQ Komisji stanowi, że zasadniczo nie trzeba jej udostępniać klientom ani ogółowi społeczeństwa.

Główny wyjątek publiczny opisany w FAQ dotyczy niektórych ważnych produktów w postaci bezpłatnego i otwartego oprogramowania, których producent korzysta z samooceny na podstawie art. 32 ust. 5.