Declaration of Conformity a značka CE pre softvér, ktorý sa len sťahuje

„Značka CE na softvéri, ktorý sa len stiahne z webu?" Áno — a Cyber Resilience Act presne hovorí, ako na to. Pred uvedením produktu na trh vydáva výrobca EÚ vyhlásenie o zhode (čl. 28) a umiestňuje značku CE (čl. 30). Poďme si ukázať, čo to pri softvéri bez fyzického obalu znamená v praxi.

EÚ vyhlásenie o zhode (čl. 28)

Vyhlásenie o zhode je dokument, v ktorom na vlastnú zodpovednosť vyhlasujete, že váš produkt spĺňa základné požiadavky CRA. Nie je to certifikát od úradu — je to vaše vyhlásenie, podložené technickou dokumentáciou (o ktorej je samostatný článok). Vydáva sa pred uvedením na trh.

Čo vyhlásenie obsahuje (Príloha V)

Obsah nie je na fantázii — určuje ho Príloha V. Osem bodov:

1. Názov, typ a údaje na jednoznačnú identifikáciu produktu.
2. Meno a adresa výrobcu alebo jeho splnomocneného zástupcu.
3. Vyhlásenie, že sa vydáva na výhradnú zodpovednosť poskytovateľa.
4. Predmet vyhlásenia — identifikácia produktu umožňujúca vysledovateľnosť (podľa potreby aj fotografia).
5. Vyhlásenie o zhode predmetu s príslušnými harmonizačnými predpismi Únie.
6. Odkazy na použité harmonizované normy alebo iné spoločné špecifikácie či certifikáciu, voči ktorým sa zhoda vyhlasuje.
7. Ak sa uplatní: názov a číslo notifikovanej osoby, opis vykonaného posúdenia zhody a identifikácia vydaného certifikátu.
8. Doplňujúce informácie a podpis — miesto a dátum vydania, meno, funkcia, podpis.

Značka CE na softvéri (čl. 30)

Pri fyzickom produkte sa CE umiestňuje viditeľne priamo naň, prípadne na obal a na vyhlásenie. Lenže stiahnuteľný softvér obal nemá — a čl. 30 na to pamätá. Pre produkty vo forme softvéru sa značka CE umiestni buď na EÚ vyhlásenie o zhode, alebo na web sprístupňujúci softvér, pričom príslušná časť webu má byť ľahko a priamo dostupná. Inak povedané: CE „nalepíte" na dokument alebo na stránku produktu, nie do binárky.

Ako môže vyzerať vyhlásenie

Nie je to dlhý dokument — je to skôr formulár na jednu stranu. Zhruba takto:

1. Produkt: „Aplikácia XY, verzia 3.x" + jednoznačný identifikátor.
2. Výrobca: názov, adresa (prípadne splnomocnený zástupca).
3. Vyhlásenie na výhradnú zodpovednosť poskytovateľa.
4. Zhoda s príslušnými harmonizačnými predpismi Únie (t. j. s CRA).
5. Odkazy na normy/špecifikácie, voči ktorým sa zhoda vyhlasuje (kým normy nie sú, odkazujete priamo na Prílohu I).
6. Notifikovaná osoba — len ak sa uplatní (pri important/critical triedach).
7. Miesto, dátum, meno, funkcia, podpis.

Pri stiahnuteľnom softvéri toto vyhlásenie zverejníte na webe produktu a naň (alebo na túto stránku) „nalepíte" značku CE — presne ako dovoľuje čl. 30.

Kedy to platí

Toto je časť CRA, ktorá nie je aktuálna hneď. Vyhlásenie o zhode a značka CE sa vyžadujú pre produkty uvedené na trh (alebo podstatne zmenené) po 11. 12. 2027. Do vtedy sa sústreďte na procesy, ktoré platia skôr (reporting od 11. 9. 2026, SBOM, nahlasovací kanál) — tie sa nemenia. Prehľad termínov je v časovej osi CRA.

Časté omyly

Pár vecí, ktoré sa okolo CE a vyhlásenia pletú:

1. „CE je certifikát od úradu." Pri default triede nie — vyhlásenie vydávate sami. Notifikovaná osoba vstupuje až pri prísnejších triedach.
2. „Softvér sa nedá označiť CE." Dá — na vyhlásení alebo na webe (čl. 30).
3. „Vyhlásenie napíšem, ako uznám za vhodné." Nie — obsah je daný Prílohou V, osem bodov vyššie.
4. „Platí to už teraz." CE a vyhlásenie sa viažu na 11. 12. 2027, nie na 2026.

Čo znamená „na výhradnú zodpovednosť"

Bod 3 Prílohy V — vyhlásenie na výhradnú zodpovednosť poskytovateľa — nie je formalita. Znamená, že za pravdivosť vyhlásenia ručíte vy, nie žiadny úrad ani notifikovaná osoba (pri default triede). Preto musí za vyhlásením stáť reálna technická dokumentácia; podpísať zhodu bez podkladov je presne to, čo pri kontrole neobstojí. Čím lepšie máte spracovanú dokumentáciu podľa Prílohy VII, tým pokojnejšie vyhlásenie podpíšete.

Časté otázky

1. Kto podpisuje vyhlásenie? Osoba oprávnená konať za výrobcu; uvádza sa meno, funkcia a podpis (bod 8 Prílohy V).
2. Kam „nalepiť" CE pri appke? Na vyhlásenie o zhode alebo na web sprístupňujúci softvér, ľahko dostupné (čl. 30).
3. Potrebujeme notifikovanú osobu? Pri default triede nie; jej názov a číslo sa uvádzajú len ak sa uplatní (important/critical triedy).
4. Musí byť vyhlásenie v konkrétnom jazyku? Sprístupňuje sa v jazyku, ktorý určí členský štát, kde produkt uvádzate — pre istotu v jazyku akceptovanom orgánom dohľadu.
5. Aktualizujeme vyhlásenie pri novej verzii? Ak nová verzia mení zhodu, vyhlásenie sa vzťahuje na ňu — držte ho aktuálne spolu s verziami produktu.

Kľúčový bod

Vyhlásenie o zhode a CE nie sú pri softvéri neuskutočniteľné — nariadenie počíta aj s produktmi bez fyzického obalu. Zapamätajte si tri veci. Po prvé, obsah vyhlásenia je daný Prílohou V (osem bodov od identifikácie po podpis), takže ho nevymýšľate. Po druhé, značku CE pri stiahnuteľnom softvéri umiestníte na vyhlásenie alebo na web produktu (čl. 30), nie do binárky. Po tretie, celé to platí až pre produkty uvedené na trh po 11. 12. 2027 — takže máte čas, ale ten čas najlepšie využijete tým, že dovtedy vybudujete technickú dokumentáciu, z ktorej vyhlásenie priamo vychádza. Vyhlásenie na výhradnú zodpovednosť je totiž len tak silné, ako podklady, ktoré za ním stoja. Kto má procesy (SBOM, riešenie zraniteľností, evidenciu support periódy) zabehnuté skôr, ten v 2027 nezačína od prázdneho papiera.

Ako pomáha CRAguard

CRAguard vedie podklady, z ktorých vyhlásenie o zhode vychádza — SBOM, audit trail procesu riešenia zraniteľností, evidenciu support periódy — a navádza obsah vyhlásenia podľa ôsmich bodov Prílohy V. Keď príde 2027, nezačínate od prázdneho papiera. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (čl. 28, čl. 30, Príloha V) a usmernenia Európskej komisie zo dňa 27. 7. 2026.