Čl. 2 · Oblast působnosti

Související ustanovení: čl. 3 body 1 a 2 (produkt s digitálními prvky, dálkové zpracování dat); čl. 11 (obecná bezpečnost výrobků); čl. 12 (vysoce rizikové systémy AI); čl. 61 (přenesené pravomoci)

Související předpisy EU: nařízení (EU) 2017/745 a 2017/746 (zdravotnické prostředky); nařízení (EU) 2019/2144 (vozidla); nařízení (EU) 2018/1139 (letectví); směrnice 2014/90/EU (námořní výstroj)

I. Test připojení (odst. 1)

1 Nařízení se vztahuje na produkty s digitálními prvky dodané na trh, „jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé logické nebo fyzické datové připojení k zařízení nebo síti”. Test je široký úmyslně.

2 Tři slova rozhodují. Nepřímé znamená, že produkt nemusí být připojený sám; stačí, že se připojuje přes jiné zařízení. Logické znamená, že nejde jen o kabel či rádio, ale i o datové rozhraní. A rozumně předvídatelné použití znamená, že nerozhoduje jen záměr výrobce; když se produkt běžně používá jinak, počítá se i to.

3 Prakticky mimo režim zůstává jen produkt, který se s ničím nespojí ani nepřímo. Toho je málo. Argument „naše zařízení není chytré” obvykle neobstojí, jakmile má konfigurační rozhraní nebo servisní port.

4 Software je produktem s digitálními prvky stejně jako hardware. Nařízení nedělá rozdíl mezi vestavěným a samostatným softwarem a nemá výjimku pro podnikové aplikace. To je proti očekávání většiny dodavatelů.

II. Vyloučení z působnosti (odst. 2 až 4, 7 a 8)

5 Odstavec 2 vylučuje produkty, na které dopadají nařízení o zdravotnických prostředcích (2017/745 a 2017/746) a nařízení o schvalování vozidel (2019/2144). Odstavec 3 vylučuje produkty certifikované podle nařízení o civilním letectví (2018/1139) a odstavec 4 námořní výstroj podle směrnice 2014/90/EU.

6 Vyloučení jsou úzká a vážou se na to, že produkt do působnosti uvedeného předpisu skutečně spadá. Zdravotnický software, který není zdravotnickým prostředkem, vyloučen není. Totéž platí u příslušenství vozidel mimo režim schvalování typu.

7 Odstavec 7 vylučuje z působnosti produkty vyvinuté nebo upravené výlučně pro účely národní bezpečnosti nebo obrany a produkty speciálně určené ke zpracování utajovaných informací. Slovo výlučně je tu klíčové: produkt s dvojím užitím, který se běžně prodává i mimo obranu, vyloučen není.

8 Odstavec 8 přidává něco jiného než vyloučení z působnosti. Povinnosti podle nařízení nezahrnují poskytování informací, jejichž zpřístupnění by bylo v rozporu se zásadními zájmy státu v oblasti národní bezpečnosti, veřejné bezpečnosti nebo obrany. Produkt tedy pod nařízení spadá, jen se určitá informace neposkytne.

III. Zúžení podle odstavce 5

9 Odstavec 5 dává Komisi pravomoc aktem v přenesené pravomoci omezit nebo vyloučit použití nařízení tam, kde na produkt dopadají jiná unijní pravidla pokrývající tatáž rizika, za dvou podmínek: soulad s celkovým regulačním rámcem a stejná nebo vyšší úroveň ochrany v odvětvových pravidlech.

10 Zmocnění už bylo použito. Nařízením Komise v přenesené pravomoci (EU) 2025/1535 ze dne 29. července 2025 se z působnosti CRA vylučují některé produkty spadající pod nařízení (EU) č. 168/2013 o dvoukolových a tříkolových vozidlech. Souvisí to s čl. 68, který do onoho nařízení doplnil požadavek na ochranu vozidla proti kybernetickým útokům: co je pokryto tam, nemá být posuzováno dvakrát.

11 Je to ventil proti dvojí regulaci, ale funguje jen tehdy, když Komise akt vydá. Do té doby platí, že souběh dvou režimů je nutné splnit oběma. Argument „to už řeší jiný předpis” tedy sám o sobě z povinností nevyvazuje.

IV. Náhradní díly (odst. 6)

12 Vyloučeny jsou náhradní díly dodávané k nahrazení totožných komponent a vyrobené podle stejných specifikací. Slovo totožných je úzké: vylepšený náhradní díl nebo díl podle novější specifikace pod výjimku nespadá.