Self-assessment (modul A): čo musí obsahovať technická dokumentácia pre malú firmu

Ak ste v default triede (čo je väčšina — viac v článku o triedach), zhodu s CRA vyhlasujete sami. Volá sa to modul A (interná kontrola výroby): žiadna notifikovaná osoba, ale plná zodpovednosť za to, že vaša technická dokumentácia drží pokope. Jej minimálny obsah nie je na vašej fantázii — určuje ho Príloha VII nariadenia (EÚ) 2024/2847. Poďme si jej osem bodov prejsť jazykom malej firmy.

Čo je modul A

Modul A znamená, že produkt posúdite proti základným požiadavkám z Prílohy I, spíšete o tom dokumentáciu, vydáte EÚ vyhlásenie o zhode a umiestnite označenie CE — bez zapojenia tretej strany. Je to najmiernejší režim, ale nie „bez roboty": dokumentácia musí existovať a byť k dispozícii orgánu dohľadu na žiadosť.

Osem bodov Prílohy VII

Príloha VII hovorí, že technická dokumentácia obsahuje aspoň týchto osem prvkov:

1. Všeobecný opis produktu — účel, verzie softvéru ovplyvňujúce zhodu, pri hardvéri fotky/nákresy vonkajška aj vnútra, a používateľské informácie a návody podľa Prílohy II.
2. Opis návrhu, vývoja, výroby a procesov riešenia zraniteľností — architektúra a ako komponenty do seba zapadajú; a najmä špecifikácia vulnerability handling procesu: SBOM, CVD politika, doklad o kontaktnej adrese na nahlasovanie zraniteľností a opis riešenia na bezpečnú distribúciu aktualizácií.
3. Posúdenie kybernetických rizík — riziká, proti ktorým je produkt navrhnutý, vyvíjaný, dodávaný a udržiavaný (risk assessment podľa čl. 13; má vlastný praktický článok).
4. Podklady k support perióde — informácie, na základe ktorých ste ju určili (viac v článku o support perióde).
5. Zoznam použitých harmonizovaných noriem — tých, ktorých odkazy vyšli v Úradnom vestníku (zatiaľ žiadne — prečo a čo s tým).
6. Správy z testov, ktoré overujú zhodu produktu aj procesu riešenia zraniteľností so základnými požiadavkami.
7. Kópia EÚ vyhlásenia o zhode (jeho obsah rieši Príloha V — viac v článku o DoC a CE).
8. SBOM — na odôvodnenú žiadosť orgánu dohľadu nad trhom.

Ako k tomu pristúpiť prakticky

Zoznam vyzerá dlho, ale veľká časť sú veci, ktoré aj tak potrebujete alebo máte. SBOM, CVD politika a kontaktný kanál (bod 2) sú presne to, čo odporúčame spraviť hneď — a čomu sa venujú samostatné články. Risk assessment (bod 3) sa dá zvládnuť na dve strany. Vyhlásenie o zhode (bod 7) je krátky formulár. Nesnažte sa napísať všetko naraz a dokonalé; spravte kostru s ôsmimi nadpismi a dopĺňajte.

Jedna vec je dôležitá: dokumentácia sa uchováva aspoň 10 rokov od uvedenia produktu na trh (alebo počas support periódy, ak je dlhšia) — čl. 13(13). Nie je to jednorazový dokument do šuflíka — verzujte ju spolu s produktom.

Kde malé firmy najčastejšie chybia

Zopár typických nedostatkov, ktorým sa dá ľahko vyhnúť:

1. Dokumentácia existuje len „v hlave". Proces možno reálne funguje, ale nie je zapísaný — pri žiadosti orgánu nemáte čo ukázať. Modul A stojí a padá na tom, že dokumentácia je hmatateľná a dostupná.
2. Chýba bod 2 — proces riešenia zraniteľností. Firmy často opíšu produkt, ale zabudnú na SBOM, CVD politiku a kanál na nahlasovanie. Pritom je to jadro Prílohy VII a zároveň to, čo od vás platí najskôr.
3. Nie je vidno rozhodnutie o support perióde. Bod 4 žiada podklady, na základe ktorých ste ju určili — nie len číslo.
4. Dokumentácia nie je verzovaná. Produkt sa mení, dokumentácia nie → po roku nesedí. Verzujte ju spolu s vydaniami.

Praktický tip: založte dokument s ôsmimi nadpismi podľa Prílohy VII hneď na začiatku a dopĺňajte ho priebežne. Prázdny nadpis vás upozorní, čo ešte chýba, lepšie než snaha spomenúť si na všetko naraz tesne pred žiadosťou.

Kedy self-assessment nestačí

Modul A platí pre default triedu. Pri important triede I je self-assessment možný len pri plnom uplatnení harmonizovaných noriem (ktoré ešte nevyšli) — alebo ak má produkt certifikát podľa európskej schémy certifikácie na úrovni záruk aspoň „substantial" (čl. 32(2)); inak vstupuje notifikovaná osoba. Trieda II a critical vyžadujú tretiu stranu vždy. Ak si nie ste istí triedou, scope-checker vám ju určí.

Časté otázky

1. Musí byť dokumentácia v slovenčine? Nariadenie žiada, aby bola pre orgán zrozumiteľná; jazyk môže určiť členský štát. Pre istotu ju veďte v jazyku, ktorý orgán dohľadu akceptuje.
2. Ako dlho ju uchovávať? Aspoň 10 rokov od uvedenia na trh (alebo počas support periódy, ak je dlhšia) — čl. 13(13).
3. Sme mikropodnik — je to jednoduchšie? Áno, nariadenie počíta so zjednodušenou dokumentáciou pre mikro a malé podniky, ale osem oblastí Prílohy VII treba pokryť.
4. Kedy vzniká vyhlásenie o zhode? Pred uvedením na trh; je to bod 7 dokumentácie a zároveň samostatný dokument (Príloha V).

Kde začať, ak máte prázdny papier

Najlepší prvý krok nie je písať od začiatku, ale pozbierať, čo už máte: SBOM, security.txt a CVD politiku (bod 2), risk assessment (bod 3), rozhodnutie o support perióde (bod 4). Prekvapivo veľká časť dokumentácie sú veci, ktoré aj tak robíte — len ich treba spísať na jedno miesto s ôsmimi nadpismi. Až potom dopĺňate to, čo chýba (opis architektúry, správy z testov). Tak sa z „veľkej compliance úlohy" stane usporiadanie existujúceho.

Kľúčový bod

Pri default triede zhodu vyhlasujete sami (modul A) a základom je technická dokumentácia, ktorej minimálny obsah určuje Príloha VII — osem bodov od všeobecného opisu produktu, cez proces riešenia zraniteľností (SBOM, CVD politika, kontaktný kanál, bezpečná distribúcia updatov), risk assessment a podklady k support perióde, až po zoznam noriem, správy z testov a kópiu vyhlásenia o zhode. Veľká časť z toho sú veci, ktoré aj tak robíte — stačí ich spísať na jedno miesto s ôsmimi nadpismi a dopĺňať. Dokumentácia sa uchováva aspoň 10 rokov a verzuje sa spolu s produktom. Modul A platí pre default triedu; pri important I je self-assessment možný len pri plnom uplatnení noriem, trieda II a critical vyžadujú tretiu stranu vždy.

Ako pomáha CRAguard

CRAguard drží väčšinu bodu 2 za vás: generuje a verzuje SBOM, hostuje CVD kanál a kontaktnú adresu, a vedie audit trail, ktorý je dôkazom fungujúceho procesu. Zvyšok dokumentácie navádza šablónami, takže z ôsmich bodov Prílohy VII nezostane prázdna strana. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha VII, čl. 13, čl. 31, modul A) a usmernenia Európskej komisie zo dňa 27. 7. 2026.