Příloha III · DŮLEŽITÉ PRODUKTY S DIGITÁLNÍMI PRVKY

Související ustanovení: čl. 7; čl. 32 odst. 2 a 3; čl. 27 odst. 9; čl. 61 odst. 2

Související předpisy EU: směrnice 2009/48/ES o bezpečnosti hraček; nařízení (EU) 2017/745 a 2017/746 (zdravotnické prostředky)

I. Proč je tenhle seznam nejdražší stránka nařízení

1 Zařazení produktu do přílohy III znamená přísnější režim posuzování shody podle čl. 32 odst. 2 a 3; každá třída má vlastní odstavec. U třídy I (odst. 2) musí výrobce zapojit oznámený subjekt, jestliže nepoužil harmonizované normy, společné specifikace nebo evropská schémata certifikace alespoň na úrovni záruky „významná”, použil-li je jen zčásti, anebo jestliže takové normy a schémata neexistují. Ten třetí spouštěč má dnes největší dopad.

2 Protože harmonizované normy k CRA zatím z velké části neexistují, je u přílohy III zapojení oznámeného subjektu v současnosti spíš pravidlem. Seznam navíc může Komise měnit aktem v přenesené pravomoci podle čl. 7 odst. 3, takže je namístě ho sledovat.

II. Třída I

3 Třída I má devatenáct položek. Patří sem software pro správu identit a privilegovaného přístupu včetně biometrických čteček, samostatné i vestavěné prohlížeče, správci hesel, antivirový software, produkty s funkcí VPN, systémy řízení sítě, systémy řízení bezpečnostních informací a událostí (SIEM), boot manageři, infrastruktura veřejných klíčů, fyzická i virtuální síťová rozhraní a operační systémy.

4 Dále sem patří směrovače, modemy pro připojení k internetu a přepínače, mikroprocesory, mikrořadiče a obvody ASIC a FPGA s bezpečnostními funkcemi, obecní virtuální asistenti pro chytré domácnosti a produkty pro chytré domácnosti s bezpečnostními funkcemi, tedy chytré zámky, bezpečnostní kamery, chůvičky a poplašné systémy.

5 Dvě poslední položky míří na spotřebitele nejcitlivěji. Bod 18 zahrnuje hračky připojené k internetu podle směrnice 2009/48/ES, které mají sociální interaktivní funkce nebo sledují polohu. Bod 19 zahrnuje osobní nositelné výrobky sledující zdravotní stav, na které nedopadají nařízení o zdravotnických prostředcích, a nositelné výrobky určené dětem. Chytré hodinky pro děti tedy spadají do třídy I, i když je jejich výrobce nepovažuje za bezpečnostní produkt.

III. Třída II

6 Třída II má čtyři položky: hypervizory a systémy runtime kontejnerů podporující virtualizovaný běh operačních systémů, firewally a systémy detekce a prevence narušení, a dále mikroprocesory a mikrořadiče odolné proti manipulaci.

7 U třídy II interní kontrola nestačí nikdy. Rozdíl proti třídě I není ale v tom, že by u třídy II nešlo posouzení třetí stranou obejít vůbec. Podle čl. 32 odst. 3 písm. c) je třetí cestou evropské schéma certifikace podle čl. 27 odst. 9 alespoň na úrovni záruky „významná”, a čl. 27 odst. 9 výslovně ruší povinnost nechat provést posouzení třetí stranou i pro třídu II. Rozdíl je tedy v ceně té cesty: u třídy I stačí harmonizované normy a modul A, u třídy II je jedinou alternativou k oznámenému subjektu evropská certifikace.