Posudzovaním zhody výrobca preukazuje, že produkt aj procesy výrobcu spĺňajú uplatniteľné základné požiadavky kybernetickej bezpečnosti z prílohy I CRA. Postup vyberajte podľa základnej funkcionality produktu, nie iba podľa jednej funkcie alebo komponentu, ktorý je v ňom zabudovaný.
1. Najprv určte kategóriu produktu
- Ostatné produkty („default“ kategória): produkty, ktorých základná funkcionalita nepatrí do prílohy III ani IV CRA.
- Dôležité produkty triedy I: kategórie uvedené v prílohe III, trieda I.
- Dôležité produkty triedy II: kategórie uvedené v prílohe III, trieda II.
- Kritické produkty: kategórie uvedené v prílohe IV.
Technické opisy kategórií spresňuje vykonávacie nariadenie Komisie (EÚ) 2025/2392. Samotné zabudovanie komponentu, ktorý patrí do prílohy III alebo IV, automaticky nepresúva celý produkt do tejto kategórie. Rozhodujúce je, či základná funkcionalita produktu ako celku zodpovedá technickému opisu.
2. Vyberte postup
| Kategória | Kedy možno použiť internú kontrolu výroby (modul A) | Kedy je potrebná tretia strana alebo certifikačná schéma |
|---|---|---|
| Ostatné produkty | Výrobca môže použiť modul A aj vtedy, ak nepoužil harmonizované normy. Musí však zdokumentovať, ako splnil požiadavky. | Dobrovoľne možno zvoliť prísnejší postup B + C alebo H. |
| Dôležité — trieda I | Modul A možno použiť, ak sú na príslušné požiadavky úplne použité harmonizované normy, spoločné špecifikácie alebo dostupná a uplatniteľná európska certifikačná schéma aspoň na úrovni „substantial“. | Ak takéto prostriedky neexistujú alebo ich výrobca nepoužije úplne, pre dotknuté požiadavky použije modul B + C alebo modul H. |
| Dôležité — trieda II | Nie, okrem osobitnej výnimky pre kvalifikujúci slobodný softvér s otvoreným zdrojovým kódom podľa článku 32 ods. 5. | Modul B + C, modul H alebo dostupná a uplatniteľná európska certifikačná schéma aspoň na úrovni „substantial“. |
| Kritické | Nie ako bežná cesta. | Ak Komisia pre kategóriu vyžaduje certifikáciu podľa článku 8 ods. 1, použije sa určená európska certifikačná schéma. Kým podmienky článku 8 ods. 1 nie sú splnené, použije sa jedna z ciest pre triedu II. |
Modul A — interná kontrola výroby: výrobca na vlastnú zodpovednosť pripraví technickú dokumentáciu, posúdi produkt a výrobné/procesné opatrenia, vydá EÚ vyhlásenie o zhode a umiestni označenie CE.
Modul B + C: notifikovaná osoba vykoná EÚ skúšku typu (modul B). Výrobca potom na vlastnú zodpovednosť zabezpečuje zhodu vyrábaných produktov so schváleným typom (modul C).
Modul H — úplné zabezpečenie kvality: notifikovaná osoba posudzuje a priebežne audituje schválený systém kvality výrobcu pre návrh, vývoj, výrobu, kontrolu a skúšanie finálneho produktu.
3. Dokončite dôkazný balík
Bez ohľadu na zvolenú cestu výrobca:
- vykoná posúdenie kybernetickobezpečnostných rizík a zohľadní jeho výsledky počas plánovania, návrhu, vývoja, výroby, dodania a údržby;
- pripraví technickú dokumentáciu podľa prílohy VII vrátane primeraných dôkazov o splnení požiadaviek a SBOM v strojovo čitateľnom formáte;
- vykoná alebo zabezpečí zvolený postup posudzovania zhody;
- odstráni zistené nezhody;
- vydá EÚ vyhlásenie o zhode podľa článku 28 a prílohy V;
- pred uvedením produktu na trh umiestni označenie CE podľa článkov 29 a 30;
- uchováva technickú dokumentáciu a EÚ vyhlásenie o zhode najmenej 10 rokov po uvedení produktu na trh alebo počas obdobia podpory — podľa toho, čo trvá dlhšie.
Výrobca zostáva zodpovedný za zhodu aj vtedy, keď zapojí notifikovanú osobu. Certifikát tretej strany nenahrádza EÚ vyhlásenie výrobcu ani jeho priebežné povinnosti počas obdobia podpory.
Related links: Kategórie produktov · Ako nájsť notifikovanú osobu · EÚ vyhlásenie o zhode · Označenie CE