Czy CRA dotyczy mojego produktu? Praktyczna ocena zakresu

CRA nie ocenia firmy wyłącznie po branży ani po etykiecie „SaaS”, „IoT” czy „software house”. Trzeba zidentyfikować konkretny produkt z elementami cyfrowymi, sposób jego udostępniania na rynku UE, rolę organizacji i powiązane funkcje zdalnego przetwarzania danych.

Wynik powinien być udokumentowaną oceną zakresu z podaniem przesłanek — nie odpowiedzią „tak/nie” bez śladu, jak do niej doszliśmy.

Krok 1. Nazwij produkt

Zacznij od obiektu, który użytkownik rzeczywiście kupuje, pobiera, instaluje, integruje albo otrzymuje jako komponent.

Zapisz:

nazwę i identyfikator produktu;
wersję lub rodzinę wersji;
przeznaczenie produktu;
główne funkcje;
sposób dostarczenia użytkownikowi;
markę, pod którą produkt trafia na rynek;
rynki, na których produkt jest udostępniany.

Jeżeli zespół nie potrafi wskazać granicy produktu, dalsza kwalifikacja będzie oparta na domysłach.

Krok 2. Sprawdź, czy mamy „produkt z elementami cyfrowymi”

CRA definiuje produkt z elementami cyfrowymi jako produkt software lub hardware wraz z jego rozwiązaniami zdalnego przetwarzania danych. W zakres mogą wchodzić również komponenty software lub hardware wprowadzane na rynek osobno.

Dla usług zdalnych ważna jest relacja funkcjonalna. Rozporządzenie opisuje zdalne przetwarzanie danych jako takie, dla którego oprogramowanie jest zaprojektowane i rozwijane przez producenta lub na jego odpowiedzialność, a brak tej usługi uniemożliwiłby produktowi wykonywanie jednej z funkcji.

To dlatego nie powinno się kwalifikować całej oferty słowem „chmura”. Najpierw trzeba rozrysować produkt i zależności.

Krok 3. Ustal rolę organizacji

Inne obowiązki i odpowiedzialności mogą wynikać z tego, czy organizacja działa jako:

producent;
upoważniony przedstawiciel;
importer;
dystrybutor;
podmiot dokonujący istotnej modyfikacji produktu i ponownie udostępniający go na rynku.

Szczególnie ważna jest sytuacja, w której importer lub dystrybutor oferuje produkt pod własną nazwą lub znakiem towarowym albo dokonuje istotnej modyfikacji. CRA może wtedy przypisać mu obowiązki producenta.

Krok 4. Nie pomijaj produktów wprowadzonych przed 11 grudnia 2027 r.

Główna część CRA będzie stosowana od 11 grudnia 2027 r., ale to nie oznacza, że starsze produkty można dziś wyłączyć z procesu raportowego.

Art. 69 ust. 3 wskazuje, że obowiązki z art. 14 dotyczą również produktów z elementami cyfrowymi wprowadzonych na rynek przed 11 grudnia 2027 r., jeżeli produkty te mieszczą się w zakresie rozporządzenia.

Jeżeli masz utrzymywany produkt obecny już na rynku, sprawdzenie procesu podatności i incydentów jest zadaniem bieżącym.

Krok 5. Sprawdź wyłączenia i przepisy sektorowe

Nie publikujemy skróconej listy „branż poza CRA”, bo łatwo zamienić ją w błędną kwalifikację. Rozporządzenie ma własny zakres, wyłączenia oraz relacje z innymi aktami sektorowymi.

Dobra praktyka:

zapisz artykuł i źródło, na których opierasz kwalifikację;
zapisz datę sprawdzenia;
oddziel fakt od założenia;
jeżeli wynik zależy od interpretacji prawnej, oznacz go jako wymagający przeglądu przez właściwą osobę.

Minimalny rekord oceny zakresu

Pole	Co zapisać
Produkt	nazwa, wersja, identyfikator
Rola firmy	producent / importer / dystrybutor / inna
Rynek	gdzie produkt jest udostępniany
Funkcje cyfrowe	software, hardware, interfejsy, komponenty
Remote processing	co jest zdalne i czy jest niezbędne do funkcji produktu
Podstawa	artykuł CRA, wytyczne, założenia
Wynik	w zakresie / poza zakresem / wymaga pogłębionej oceny
Właściciel decyzji	osoba zatwierdzająca
Data przeglądu	kiedy ocena ma zostać sprawdzona ponownie

Kiedy ocenić produkt ponownie

Ocena zakresu nie powinna być jednorazowym PDF-em. Wróć do niej co najmniej wtedy, gdy:

zmienia się przeznaczenie produktu;
dodajesz usługę zdalną niezbędną do działania;
produkt jest istotnie modyfikowany;
zmienia się model dystrybucji lub marka;
firma przejmuje rolę producenta, importera albo dystrybutora;
pojawiają się nowe wytyczne Komisji lub właściwych organów.

Jak Pulsar pomaga utrzymać ślad decyzji

Pulsar może przechowywać podstawę oceny jako część dokumentacji i powiązać ją z ryzykami, działaniami, dokumentami i dowodami. Wartością nie jest automatyczne „TAK/NIE”, tylko możliwość późniejszego pokazania: co oceniono, na jakiej podstawie, kto zatwierdził wynik i co z niego wynikało.

Pulsar nie zastępuje indywidualnej oceny prawnej.

Zobacz, jak prowadzić jedną sprawę w Pulsar GRC

Powiązane materiały

Źródła

Stan źródeł: 12 września 2026 r.