Dokumentacja techniczna CRA według Załącznika VII

Osiem obowiązkowych elementów dokumentacji technicznej z Załącznika VII CRA, kiedy ją sporządzić, jak utrzymywać i jak długo przechowywać.

Michał Jaśniewski 21 października 2026 7 min czytania

Dokumentacja techniczna to dowód, że produkt i procesy producenta spełniają zasadnicze wymagania z Załącznika I — i jedyny materiał, którym producent broni się przed organem nadzoru rynku. Art. 31 ust. 1 wymaga, by zawierała „wszystkie istotne dane lub szczegóły dotyczące środków” wykorzystanych do wykazania zgodności, a minimalny zakres wyznacza Załącznik VII w ośmiu punktach. Musi istnieć przed wprowadzeniem produktu do obrotu (art. 31 ust. 2), być aktualizowana co najmniej przez cały okres wsparcia i pozostawać dostępna dla organów przez 10 lat od wprowadzenia do obrotu albo przez okres wsparcia, jeżeli jest dłuższy (art. 13 ust. 13).

Dlaczego to nie jest „teczka na audyt"

Dokumentacja techniczna w CRA jest konstrukcją z nowego podejścia prawodawstwa produktowego: to producent sam sporządza dowód zgodności, a organ sprawdza go dopiero po fakcie.

Praktyczna konsekwencja jest odwrotna niż w klasycznym audycie. Nie ma terminu „audytu”, na który można się przygotować — dokumentacja musi być prawdziwa w każdym momencie, w którym produkt jest na rynku.

Druga konsekwencja: art. 53 i art. 13 ust. 22 dają organowi nadzoru rynku prawo żądania dokumentacji w języku dla niego zrozumiałym, z uzasadnionym wnioskiem. Odpowiedź „zbieramy materiały” jest już brakiem zgodności formalnej w rozumieniu art. 58.

Osiem punktów Załącznika VII

Załącznik VII wylicza, co dokumentacja zawiera „co najmniej”, w zakresie mającym zastosowanie do danego produktu.

1. Ogólny opis produktu. Przeznaczenie, wersje oprogramowania mające wpływ na zgodność, a dla produktów sprzętowych fotografie lub ilustracje cech zewnętrznych, oznakowania i układu wewnętrznego. Dołącza się informacje i instrukcje dla użytkownika wymagane Załącznikiem II.

2. Opis projektowania, rozwoju, produkcji i obsługi podatności. Najobszerniejszy punkt. Obejmuje: informacje o projekcie i architekturze systemu (jak komponenty oprogramowania wykorzystują lub oddziałują na siebie i na ogólną architekturę), informacje i specyfikacje procesów obsługi podatności — w tym zestawienie komponentów oprogramowania (SBOM), politykę skoordynowanego ujawniania podatności, dowód udostępnienia adresu kontaktowego do zgłaszania podatności oraz opis technicznych rozwiązań bezpiecznej dystrybucji aktualizacji — a także informacje o procesach produkcji i monitorowania wraz z ich walidacją.

3. Ocena ryzyka w cyberbezpieczeństwie. Ocena z art. 13 ust. 2 i 3, pokazująca, w jaki sposób mają zastosowanie wymagania z części I Załącznika I.

4. Informacje o okresie wsparcia. Istotne czynniki, na podstawie których ustalono okres wsparcia zgodnie z art. 13 ust. 8.

5. Zastosowane normy i rozwiązania. Wykaz zastosowanych w całości lub w części norm zharmonizowanych, wspólnych specyfikacji lub europejskich programów certyfikacji cyberbezpieczeństwa. Gdy ich nie zastosowano — opis rozwiązań przyjętych dla spełnienia części I i II Załącznika I, ze wskazaniem, które części norm zastosowano.

6. Sprawozdania z testów. Weryfikujące zgodność produktu oraz procesów obsługi podatności.

7. Kopia deklaracji zgodności UE.

8. Zestawienie komponentów oprogramowania (SBOM). W zakresie mającym zastosowanie, przekazywane na uzasadniony wniosek organu nadzoru rynku.

Punkt 2 jest najtrudniejszy, bo wymaga dowodu z procesu

Punkty 1, 4, 5 i 7 da się napisać. Punkt 2 i punkt 6 wymagają, by proces faktycznie działał i zostawiał ślad.

CRA nie pyta, czy producent ma politykę CVD — Załącznik I część II pkt 5 wymaga jej wdrożenia i egzekwowania, a Załącznik VII pkt 2 wymaga udokumentowania tego mechanizmu razem z dowodem udostępnienia adresu kontaktowego.

Podobnie z dystrybucją aktualizacji: Załącznik I część II pkt 7 wymaga bezpiecznego rozpowszechniania aktualizacji, a dokumentacja ma opisywać techniczne rozwiązanie, które to realizuje — podpisywanie artefaktów, kanał dystrybucji, weryfikacja po stronie produktu.

Dla zespołu inżynierskiego oznacza to jedno: artefakty, które i tak powstają w pipeline (wyniki testów bezpieczeństwa, SBOM, logi podpisywania, rejestr zgłoszeń CVD), są materiałem dokumentacji. Generowanie ich automatycznie przy każdym wydaniu jest tańsze niż rekonstruowanie ich raz w roku.

Oceny ryzyka nie wolno zrobić raz

Art. 13 ust. 3 wymaga, by ocena ryzyka była dokumentowana i aktualizowana — w stosownych przypadkach — przez cały okres wsparcia.

Zakres minimalny: analiza ryzyka na podstawie przeznaczenia produktu, racjonalnie przewidywalnego użycia i warunków eksploatacji, z uwzględnieniem przewidywanego czasu użytkowania. Ocena wskazuje, czy i w jaki sposób mają zastosowanie wymagania bezpieczeństwa z części I pkt 2 Załącznika I oraz jak zastosowano pkt 1 części I i wymagania obsługi podatności z części II.

Art. 13 ust. 4 dodaje element, o który najczęściej potyka się dokumentacja: jeśli któreś z zasadniczych wymagań nie ma zastosowania, dokumentacja musi zawierać jasne uzasadnienie. Brak wyjaśnienia to nie neutralna luka — to nierozstrzygnięty zarzut.

Dla produktów objętych art. 12 (systemy AI wysokiego ryzyka) i innymi przepisami unijnymi ocena ryzyka może stanowić część oceny wymaganej tamtymi przepisami, a art. 31 ust. 3 pozwala prowadzić jeden, połączony zestaw dokumentacji — pod warunkiem że zawiera informacje z Załącznika VII i te wymagane pozostałymi aktami.

Okres wsparcia trzeba uzasadnić, nie zadeklarować

Art. 13 ust. 8 ustala minimum pięciu lat, chyba że przewidywany czas używania produktu jest krótszy — wtedy okres wsparcia odpowiada temu czasowi.

Czynniki, które producent bierze pod uwagę, są wyliczone: oczekiwania użytkowników, charakter i przeznaczenie produktu, przepisy unijne dotyczące czasu życia produktów, a fakultatywnie także okresy wsparcia produktów porównywalnych, dostępność środowiska eksploatacji, okresy wsparcia komponentów obcych oraz wytyczne ADCO i Komisji.

Informacje użyte do ustalenia okresu wsparcia zapisuje się w dokumentacji technicznej (Załącznik VII pkt 4). To dlatego deklaracja „wspieramy 5 lat” bez uzasadnienia jest słabym punktem — organ może zapytać, dlaczego nie dłużej, jeśli produkt realnie żyje osiem lat w instalacjach klientów.

Osobno biegnie zobowiązanie z art. 13 ust. 9: każda aktualizacja bezpieczeństwa udostępniona w okresie wsparcia pozostaje dostępna przez co najmniej 10 lat od jej wydania albo do końca okresu wsparcia, jeśli ten jest dłuższy.

Utrzymanie i terminy przechowywania

Trzy różne liczby, często mylone:

Importer ma własny, równoległy obowiązek: przez 10 lat od wprowadzenia do obrotu albo przez okres wsparcia przechowuje kopię deklaracji zgodności UE i zapewnia możliwość udostępnienia dokumentacji technicznej organom na żądanie (art. 19 ust. 6).

Język: dokumentacja i korespondencja dotycząca procedury oceny zgodności prowadzone są w języku urzędowym państwa, w którym ma siedzibę jednostka notyfikowana, albo w języku przez nią akceptowanym (art. 31 ust. 4).

Co może się jeszcze zmienić

Art. 31 ust. 5 daje Komisji prawo przyjmowania aktów delegowanych dodających elementy do Załącznika VII, z zastrzeżeniem, że obciążenie administracyjne mikroprzedsiębiorstw oraz MŚP ma pozostać proporcjonalne.

Art. 13 ust. 24 pozwala Komisji określić w akcie wykonawczym format i elementy SBOM z części II pkt 1 Załącznika I. Dopóki taki akt nie obowiązuje, producent sam wybiera „powszechnie używany, nadający się do odczytu maszynowego” format.

Praktyczny wniosek: struktura dokumentacji powinna być modularna — osiem punktów jako osiem odrębnych, wersjonowanych artefaktów, nie jeden plik Word. Dodanie elementu aktem delegowanym nie powinno wymagać przepisania całości.

Źródła

Materiał informacyjny, nie opinia prawna. Opisuje warstwę techniczną i procesową obowiązków wynikających z rozporządzenia (UE) 2024/2847; pełna zgodność wymaga także działań organizacyjnych i prawnych po stronie podmiotu i nie zastępuje opinii prawnej ani formalnej oceny zgodności. Stan na październik 2026 r.

CRADokumentacjaOcena zgodności