Nařízení (EU) 2024/2847 (akt o kybernetické odolnosti) · Kapitola III · Shoda produktu s digitálními prvky
Čl. 32 · Postupy posuzování shody u produktů s digitálními prvky
Znění
- Výrobce provede posouzení shody produktu s digitálními prvky a postupů, které zavedl, s cílem určit, zda jsou splněny základní požadavky na kybernetickou bezpečnost stanovené v příloze I. Výrobce prokazuje shodu se základními požadavky na kybernetickou bezpečnost v rámci některého z těchto postupů:
a) postupu interní kontroly (na základě modulu A) stanoveného v příloze VIII,
b) EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII,
c) posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII, nebo
d) případně, pokud je k dispozici, evropského schématu certifikace kybernetické bezpečnosti podle čl. 27 odst. 9.
- Pokud při posuzování souladu důležitého produktu s digitálními prvky, který spadá do třídy I podle přílohy III, a postupů zavedených jeho výrobcem se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I výrobce nepoužil harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti alespoň na úrovni záruky „významná“ podle článku 27, nebo je použil pouze částečně, nebo jestliže takové harmonizované normy, společné specifikace nebo evropská schémata certifikace kybernetické bezpečnosti neexistují, použije se na dotčený produkt s digitálními prvky a na postupy zavedené výrobcem s ohledem na tyto základní požadavky na kybernetickou bezpečnost kterýkoliv z těchto postupů:
a) EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII, nebo
b) posuzování shody založené na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII.
- Pokud je produkt důležitým produktem s digitálními prvky, který spadá do třídy II podle přílohy III, výrobce prokáže shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci některého z těchto postupů:
a) EU přezkoušení typu (na základě modulu B) podle přílohy VIII, po kterém následuje shoda s EU typem založená na interním řízení výroby (na základě modulu C) podle přílohy VIII,
b) posuzování shody založeného na komplexním zabezpečování kvality (na základě modulu H) podle přílohy VIII, nebo
c) případně, pokud je k dispozici, evropského schématu certifikace kybernetické bezpečnosti uvedeného v čl. 27 odst. 9 tohoto nařízení alespoň na úrovni záruky „významná“ podle nařízení (EU) 2019/881.
- U kritických produktů s digitálními prvky uvedených v příloze IV se prokazuje shoda se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci jednoho z těchto postupů:
a) evropského schématu certifikace kybernetické bezpečnosti podle čl. 8 odst. 1, nebo
b) pokud nejsou splněny podmínky v čl. 8 odst. 1, některého z postupů uvedených v odst. 3 tohoto článku.
-
Výrobci produktů s digitálními prvky považovaných za svobodný software s otevřeným zdrojovým kódem, které patři do kategorií uvedených v příloze III, mají možnost prokázat shodu se základními požadavky na kybernetickou bezpečnost stanovenými v příloze I v rámci jednoho z postupů uvedených v odst. 1 tohoto článku za předpokladu, že je v okamžiku uvedení těchto produktů na trh zpřístupněna veřejnosti technická dokumentace uvedená v článku 31.
-
Při stanovování poplatků za posuzování shody se vezmou v úvahu specifické zájmy a potřeby mikropodniků a malých a středních podniků, včetně začínajících podniků, a tyto poplatky se přiměřeně k jejich specifickým zájmům a potřebám sníží.
Znění: Úřední věstník EU, L, 2024/2847 z 20. 11. 2024.
Komentář
Volba postupu posouzení shody. U běžných produktů stačí interní kontrola podle modulu A. U důležitých produktů třídy I bez použití norem a u třídy II a kritických produktů nastupuje EU přezkoušení typu nebo komplexní zabezpečování kvality, tedy zapojení oznámeného subjektu.
Související ustanovení: čl. 7 a 8 (kategorie); čl. 27 (domněnka); čl. 64 odst. 3; přílohy III, IV a VIII
Obsah výkladu
I.Rozhodovací strom1 II.Kdy nastupuje oznámený subjekt4I. Rozhodovací strom
1 Výrobce prokazuje shodu jedním z postupů podle přílohy VIII: interní kontrolou (modul A), EU přezkoušením typu (modul B) následovaným shodou s typem (modul C), komplexním zabezpečováním kvality (modul H), případně evropským schématem certifikace podle čl. 27 odst. 9.
2 U produktů, které nejsou důležité ani kritické, je volba na výrobci a interní kontrola stačí. To je nejběžnější případ a znamená, že většina produktů nepotřebuje třetí stranu.
3 Rozhodovací pořadí je tedy: kategorie produktu → použití norem → volba modulu. Kdo si to pořadí prohodí, obvykle zjistí pozdě, že normy, které použil, nestačí.
II. Kdy nastupuje oznámený subjekt
4 U důležitých produktů třídy I podle přílohy III platí zvláštní pravidlo odstavce 2. Nepoužil-li výrobce harmonizované normy, společné specifikace nebo evropská schémata certifikace alespoň na úrovni záruky „významná”, nebo je použil jen částečně, anebo takové normy neexistují, musí použít modul B s C nebo modul H, tedy zapojit oznámený subjekt.
5 Věta „anebo takové normy neexistují” má v současnosti největší praktický dopad, protože harmonizované normy k CRA zatím z velké části nejsou. Do jejich zveřejnění je u třídy I zapojení oznámeného subjektu spíš pravidlem než výjimkou.
6 U třídy II a u kritických produktů je laťka ještě výš a interní kontrola nestačí. Právě proto se kapitola IV (oznamování subjektů) použije už od 11. 6. 2026: kdyby oznámené subjekty vznikaly až s obecnou použitelností, nebylo by v prosinci 2027 kým shodu posoudit.
7 U kritických produktů podle přílohy IV má odstavec 4 vlastní strom: shoda se prokazuje evropským schématem certifikace podle čl. 8 odst. 1, a nejsou-li splněny podmínky tohoto ustanovení, některým z postupů podle odstavce 3. Do vydání aktu v přenesené pravomoci podle čl. 8 tedy platí druhá větev.
8 Odstavec 5 je výjimka, kterou kapitola postavená na otázce „stačí interní kontrola?” nesmí přehlédnout. Výrobce produktu považovaného za svobodný software s otevřeným zdrojovým kódem, který patří do kategorií přílohy III, si může vybrat kterýkoli z postupů odstavce 1, tedy i interní kontrolu, je-li v okamžiku uvedení na trh technická dokumentace zpřístupněna veřejnosti. Přísnější režim třídy I a II se na něj nepoužije.
9 Odstavec 6 pak ukládá, že se poplatky za posuzování shody sníží přiměřeně zájmům a potřebám mikropodniků a malých a středních podniků, včetně začínajících. Není to možnost, ale příkaz adresovaný tomu, kdo poplatky stanoví.