Conformity Assessment
Posouzení shody dle CRA
Pomáháme výrobcům produktů s digitálními prvky provést self-assessment dle CRA — od analýzy po CE značku. Kompletní podpora při interním posouzení shody (Module A) a přípravě všech potřebných dokumentů.
Proč potřebujete posouzení shody dle CRA?
Cyber Resilience Act (CRA) zavádí povinné požadavky na kybernetickou bezpečnost všech produktů s digitálními prvky uváděných na trh EU. Bez řádného posouzení shody a CE značky nemohou být produkty na evropském trhu legálně prodávány.
Co je Module A (Self-Assessment)?
- Interní výrobní kontrola prováděná výrobcem sám
- Zahrnuje identifikaci rizik, návrh, vývoj, testování a dokumentaci
- Výsledkem je EU Declaration of Conformity a aplikace CE značky
- Pro Class I produkty typicky dostačující; Class II vyžaduje Notified Body
Rizika neplnění CRA
- Zakáz prodeje produktů na trhu EU bez CE značky
- Administrativní pokuty až do výše 15 milionů EUR nebo 2,5 % obratu
- Odpovědnost výrobce za škody způsobené nebezpečnými produkty
- Reputační škoda a ztráta důvěry obchodních partnerů
6 kroků k CE značce dle CRA
Kompletní proces interního posouzení shody (Module A) od klasifikace produktu až po aplikaci CE značky.
1. Identifikace produktu a klasifikace
Určení, zda produkt spadá pod CRA, jeho klasifikace (Class I / Class II) a výb ěr odpovídajícího modulu posouzení shody.
2. Analýza požadavků
Detailní rozbor bezpečnostních požadavků CRA: security by design, ochrana před zneužitím, důvěrnost, integrita a dostupnost.
3. Interní audit a gap analysis
Prověření stávajících procesů, dokumentace a produktu oproti CRA. Identifikace mezer a rizik bránících shodě.
4. Implementace opatření
Náprava neshod — technická úprava produktu, doplnění dokumentace, nastavení vulnerability managementu a PSIRT procesů.
5. Technická dokumentace
Sestavení kompletní technické dokumentace včetně EU Declaration of Conformity, risk assessment, SBOM a testovacích protokolů.
6. Self-certifikace a CE značka
Interní posouzení shody (Module A), podepsání DoC a aplikace CE značky. Příprava na případný audit dohledového orgánu.
Naše služby posouzení shody
End-to-end podpora při přípravě na CRA — od prvotní analýzy až po získání CE značky.
Gap Analysis CRA
Komplexní posouzení aktuálního stavu vašeho produktu a procesů vůči požadavkům CRA. Jasná roadmap k dosažení shody.
Příprava technické dokumentace
Sestavení všech potřebných dokumentů pro Module A: technická specifikace, risk analysis, testovací protokoly, SBOM a DoC.
Security by Design Review
Audit architektury produktu z hlediska bezpečnosti. Threat modeling, hardening, minimální útočná plocha a bezpečnostní kontroly.
SBOM & Supply Chain
Vytvoření Software Bill of Materials, audit komponent třetích stran a řízení bezpečnosti dodavatelského řetězce.
Vulnerability Management
Nastavení procesů pro identifikaci, hodnocení a řízení zranitelností. CVE monitoring, prioritizace oprav a SLA.
Podpora při CE značce
Kompletní vedení procesu self-assessment, příprava EU Declaration of Conformity a zavedení post-market monitoringu.
Klasifikace produktů a způsob posouzení shody
Dle úrovně rizika se produkty dělí na dvě třídy, každá s odlišnými požadavky na posouzení shody.
Class I — Standardní produkty
Běžné produkty s digitálními prvky jako IoT zařízení, spotřební elektronika, software a aplikace. Vyžadují interní posouzení shody (Module A).
- Self-assessment výrobcem (Module A)
- EU Declaration of Conformity
- Technická dokumentace a SBOM
- Vulnerability management a PSIRT
Class II — Kritické produkty
Produkty s vyšším bezpečnostním rizikem jako průmyslové systémy, kritická infrastruktura, zdravotnické SW/HW. Vyžadují certifikaci Notified Body.
- Module A + certifikace Notified Body (např. B+C)
- Rigórnější testování a dokumentace
- Nezávislé ověření shody výrobku
- Pravidelný dohled a audity
Výhody včasné přípravy na CRA shodu
Časté dotazy k posouzení shody CRA
Co je modul A (interní výrobní kontrola) dle CRA?
Modul A je postup posouzení shody, při kterém výrobce sám interně ověří, že jeho produkt splňuje základní požadavky CRA. Zahrnuje identifikaci rizik, návrh, vývoj, testování, dokumentaci a výsledné prohlášení o shodě (DoC). Pro Class I produkty je typicky dostačující; Class II vyžaduje navíc certifikaci Notified Body.
Jaký je rozdíl mezi self-assessment a certifikací Notified Body?
Self-assessment (Module A) znamená, že výrobce sám odpovídá za shodu produktu s CRA a vede interní dokumentaci. U Class II produktů je nutné doplnit Module A o certifikaci u Notified Body (např. Module B+C), která nezávisle ověří shodu výrobku s požadavky.
Co vše musí obsahovat technická dokumentace pro CRA?
Technická dokumentace zahrnuje: obecný popis produktu, návrh a vývojové záznamy, analýzu rizik, popis bezpečnostních funkcí, testovací protokoly, SBOM, návod k použití, plán aktualizací a EU Declaration of Conformity. Dokumentace musí být dostupná pro dohledové orgány po dobu 10 let.
Kdy je nutné zapojit Notified Body?
Notified Body je povinná pro produkty Class II — tedy kritické produkty s vyšším bezpečnostním rizikem (např. průmyslové systémy, kritická infrastruktura, některé zdravotnické SW/HW). Pro běžné IoT a spotřební elektroniku (Class I) postačí interní self-assessment.
Jak dlouho trvá příprava na CRA shodu?
Doba závisí na složitosti produktu a stávající úrovni bezpečnostních procesů. Typicky 3–6 měsíců pro Class I produkty s existujícími bezpečnostními procesy; 6–12 měsíců pro komplexnější produkty nebo pokud je nutné výrazné přepracování. Doporučujeme začít co nejdříve, plná účinnost CRA je v prosinci 2027.
Připravte se na CRA shodu včas
Kontaktujte nás pro nezávaznou konzultaci. Společně projdeme vaše produkty, klasifikujeme rizika a připravíme plán k získání CE značky dle CRA.
E-mail: petr@synergybit.cz · Zubří, Česká republika