Smernice Evropske komisije o CRA

01Kaj je to

Art. 26 zahteva, da Komisija objavi smernice, ki gospodarskim subjektom pomagajo pri uporabi CRA, s posebnim poudarkom na lažjem izpolnjevanju zahtev za mala in srednje velika podjetja. Dne 27. julija 2026 je Komisija odobrila vsebino teh smernic (referenca dokumenta C(2026) 5252). Obsegajo približno 80 strani in obravnavajo vprašanja, ki jih proizvajalci najpogosteje zastavljajo.

Smernice so ni zavezujoče in ne spreminjajo zakonodaje: verodostojno razlago CRA lahko poda le Sodišče Evropske unije. Vendar se organi za nadzor trga in priglašeni organi nanje opirajo za dosledno, harmonizirano razumevanje, zato so naravni spremljevalec Uredbe.

02Kaj šteje za izdelek

Največji del smernic obravnava področje uporabe, najpogosteje obravnavano področje. Izdelek z digitalnimi elementi je programski ali strojni izdelek (in njegova rešitev za obdelavo podatkov na daljavo), pri katerem uporaba vključuje neposredno ali posredno podatkovno povezavo. Art. 3(1)

• O tem odloča, kje programska oprema teče; programska oprema, ki se izvaja na uporabnikovi napravi (prenesena aplikacija, razširitev brskalnika, lokalno nameščen odjemalec), je izdelek z digitalnimi elementi. Programska oprema, do katere se zgolj dostopa na daljavo prek brskalnika, zgolj na tej podlagi to ni.
• Spletne aplikacije in spletna mesta; spletna aplikacija, ki se uporablja samo prek brskalnika, in spletno mesto, ki zgolj predstavlja informacije, praviloma nista izdelka z digitalnimi elementi. V področje uporabe spadata le, če ju je mogoče šteti za obdelavo podatkov na daljavo, ki podpira funkcijo izdelka.
• Izvorna koda; opredelitev programske opreme v CRA zajema tako strojno kot izvorno kodo, vendar zgolj deljenje odprtokodne kode v javnem repozitoriju praviloma ni "dajanje na trg". Art. 3(4)

Če niste prepričani, kam se vaš izdelek uvršča, Hitri pregled in the razumljiva razlaga v praksi vodijo skozi področje uporabe.

03Odprtokodna programska oprema

Smernice podrobno določajo prilagojeno, lažjo ureditev za odprto kodo. Nekomercialna odprtokodna programska oprema, razvita zunaj komercialne dejavnosti, večinoma ne spada v področje uporabe; sprožilni dejavnik je komercialna dejavnost in ali je programska oprema dana na trg.

• Kdaj je FOSS "dan na trg"; smernice obravnavajo zaračunavanje cene, monetizacijo povezanih storitev ali zahtevanje osebnih podatkov, plačljivo podporo, donacije, ureditve financiranja in neprofitne strukture ter vključitev FOSS s strani drugih proizvajalcev.
• Skrbniki odprtokodne programske opreme; opredeljen, sorazmeren nabor obveznosti, usmerjen v podporo varnosti in nadaljnji vzdržnosti programske opreme.
• Pomemben FOSS; pomembni izdelki (razreda I ali II), ki so dani na trg kot brezplačna in odprtokodna programska oprema, lahko sledijo lažjim postopkom ugotavljanja skladnosti za privzeto kategorijo. Art. 32(5)

04Bistvene spremembe

Ali je sprememba bistvena sprememba odloča, ali je potrebno novo ugotavljanje skladnosti. Uvodna izjava 39 to opredeljuje: izdelek je bistveno spremenjen, kadar sprememba spremeni raven njegovega tveganja za kibernetsko varnost na način, ki ga proizvajalec v svoji oceni tveganja še ni upošteval. Art. 3(30)

• Varnostne posodobitve praviloma niso bistvene spremembe; njihov namen je zmanjšati tveganje, zato varnostni popravek, ki ne spremeni predvidenega namena izdelka ali ne uvede novih tveganj, sam po sebi ne šteje.
• Gre za tveganje, ne velikost; merilo je vpliv spremembe na profil tveganja za kibernetsko varnost (novi vektorji groženj, novi scenariji napadov ali spremenjena verjetnost ali posledice), ne obseg spremembe.
• Posledica; bistveno spremenjen izdelek se obravnava, kot da je na novo dan na trg. Kadar spremembo izvede nekdo drug kot prvotni proizvajalec, prevzame obveznosti proizvajalca za spremenjeni del. Art. 21 · 22

The Vodnik po oznaki CE zajema ugotavljanje skladnosti, ki ga sproži novo dajanje na trg.

05Obdobje podpore

Obdobje podpore je čas, v katerem je treba obravnavati ranljivosti. Odražati bi moralo, kako dolgo je izdelek razumno pričakovan v uporabi. čl. 13(8)

• Pet let je privzeta vrednost, ne najnižja meja; obdobje je lahko krajše, kadar se pričakuje, da bo izdelek v uporabi manj kot pet let, izdelki, za katere se razumno pričakuje daljša uporaba, pa naj imajo daljša obdobja podpore.
• Obvestite uporabnike; ob nakupu je treba navesti končni datum (vsaj mesec in leto) ter uporabnike obvestiti, ko poteče, kadar je to tehnično izvedljivo. Art. 13(19)
• Prilagodljivost za programsko opremo; proizvajalci lahko pod določenimi pogoji odpravijo ranljivosti samo v najnovejši različici, če lahko uporabniki nadgradijo brezplačno in brez dodatnih stroškov. Art. 13(10)
• Po bistveni spremembi; obdobje je treba ponovno oceniti glede na ista merila; samodejno se ne ponastavi ali podaljša.

Načrtujte svoje z načrtovalnik obdobja podpore in EOL.

06Pomembni in kritični izdelki

Razvrstitev določa pot ugotavljanja skladnosti. Izdelek je pomemben if its osnovna funkcionalnost ustreza kategoriji Annex III (razreda I ali II), in kritičen če ustreza Annex IV; vse drugo je privzet izdelek, ki lahko opravi samoocenjevanje. Art. 7 · 8 · 32

• Osnovna funkcionalnost je merilo; glavne funkcije izdelka, brez katerih ta ne bi izpolnjeval svojega predvidenega namena. Pomožne funkcije ne spremenijo razreda, zgolj vgraditev pomembne ali kritične sestavine pa ne naredi celotnega izdelka pomembnega ali kritičnega: pametni telefon, ki vključuje operacijski sistem, sam po sebi ni "operacijski sistem".
• Ena osnovna funkcionalnost; za namene izbire poti ugotavljanja skladnosti se šteje, da ima izdelek eno samo osnovno funkcionalnost, opredeljeno v njegovi tehnični dokumentaciji.
• Opredelitve kategorij; tehnični opisi pomembnih in kritičnih kategorij so določeni v Izvedbeni uredbi Komisije (EU) 2025/2392.

Primerjajte svoj izdelek s kategorijami z iskalnik razreda izdelka.

07Obdelava podatkov na daljavo

Rešitve za obdelavo podatkov na daljavo so del izdelka z digitalnimi elementi le, kadar so potrebne za to, da izdelek opravlja svoje funkcije. čl. 3(2) Smernice ponujajo praktično merilo: ali obdelava poteka "na daljavo"; ali bi njena odsotnost preprečila izdelku, da opravlja eno od svojih funkcij; in ali je programsko opremo zasnoval in razvil proizvajalec oziroma je bila zasnovana in razvita v njegovi odgovornosti.

Merilo ponazarja z obdelanimi primeri uporabe (mobilna bančna aplikacija, pametni termostat, bralnik e-knjig, industrijski robot in mobilno omrežje), ki prikazujejo, kje poteka meja med izdelkom in zgolj storitvijo.

08Poročanje in ranljivosti

Smernice pojasnjujejo tudi tekoče obveznosti: Article 14 reporting aktivno izkoriščenih ranljivosti in hudih incidentov ter Annex I vulnerability-handling zahteve: poročanje navzgor po dobavni verigi in izmenjava varnostnih popravkov, obravnavanje znanih izkoristljivih ranljivosti ter izvajanje učinkovitega, rednega varnostnega testiranja in pregledov. Art. 14 · Annex I

09Drugi uradni viri

Smernice se dopolnjujejo z dvema drugima uradnima referenčnima viroma, ki ju velja brati skupaj.

Harmonizirani standardi. Bistvene zahteve v Priloga I so napisani v smislu rezultatov; ko je ustrezen harmonizirani standard naveden v Uradnem listu, njegovo upoštevanje daje domnevo o skladnosti. Zahteva Komisije za standardizacijo M/606 so CEN, CENELEC in ETSI sprejeli in 2025, zajema pa okoli 41 standardov. Dva ključna horizontalna standarda (varen razvoj in obravnavanje ranljivosti) se pričakujeta do 30 August 2026, vertikalni standardi za izdelke do 30 October 2026, preostali horizontalni standardi pa do 30 October 2027, torej približno leto dni pred začetkom polne uporabe.