NAŘÍZENÍ (EU) 2024/2847

Kapitola I vymezuje předmět, působnost a pojmy a zavádí tři úrovně produktů. Vybrali jsme z ní to, co rozhoduje o otázce „dopadá to na nás“: působnost (čl. 2), definice (čl. 3), základní pravidlo pro dodání na trh (čl. 6), kategorie produktů (čl. 7 a 8) a překryv s aktem o umělé inteligenci (čl. 12). Vynechali jsme čl. 1 (předmět), čl. 4 (volný pohyb), čl. 5 (veřejné zakázky), čl. 9 (konzultace se zúčastněnými stranami), čl. 10 (dovednosti) a čl. 11 (vztah k obecné bezpečnosti produktů) — míří na členské státy a Komisi a pro rozhodování výrobce z nich nic praktického neplyne.

Nařízení dopadá na produkty s digitálními prvky dodané na trh, jejichž zamýšlený účel nebo rozumně předvídatelné použití zahrnuje přímé nebo nepřímé datové připojení k zařízení nebo síti. Z působnosti jsou vyňaty produkty pokryté odvětvovými režimy — zdravotnické prostředky, diagnostika in vitro, vozidla, produkty certifikované v civilním letectví a námořní výstroj. Vyňaty jsou také náhradní díly vyrobené podle stejných specifikací jako nahrazovaná komponenta a produkty vyvinuté výlučně pro národní bezpečnost, obranu nebo zpracování utajovaných informací. Komise může aktem v přenesené pravomoci použití nařízení omezit tam, kde odvětvová pravidla dávají stejnou nebo vyšší úroveň ochrany.

Článek obsahuje 51 definic. Pro rozhodování v praxi jsou nejdůležitější čtyři. Výrobcem (bod 13) je nejen ten, kdo produkt vyvíjí nebo vyrábí, ale i ten, kdo si ho nechal navrhnout, vyvinout nebo vyrobit a nabízí ho pod svým jménem nebo ochrannou známkou, ať za úplatu, za jiné zpeněžení, nebo bezplatně. Správcem softwaru s otevřeným zdrojovým kódem (bod 14) je právnická osoba jiná než výrobce, jejímž účelem je systematicky a dlouhodobě podporovat vývoj konkrétních open source produktů určených pro obchodní činnost a zajišťovat jejich životaschopnost. Podstatná změna (bod 30) je změna po uvedení na trh, která ovlivní soulad se základními požadavky části I přílohy I nebo změní zamýšlený účel; aktivně zneužívaná zranitelnost (bod 42) je ta, u níž existují spolehlivé důkazy, že ji škodlivý aktér zneužil bez svolení vlastníka systému.

Jednou větou stanoví základní pravidlo celého nařízení. Produkt se smí dodat na trh jen tehdy, když splňuje základní požadavky na kybernetickou bezpečnost z části I přílohy I — za předpokladu, že je řádně instalován, udržován a používán k zamýšlenému účelu nebo za rozumně předvídatelných podmínek — a zároveň když postupy zavedené výrobcem splňují požadavky části II přílohy I.

Produkt, jehož klíčová funkce spadá do některé kategorie přílohy III, se považuje za důležitý produkt a podléhá přísnějším postupům posuzování shody podle čl. 32 odst. 2 a 3. Nařízení výslovně říká, že samotné začlenění takového produktu do jiného produktu z toho druhého produktu důležitý produkt nedělá.

U kategorií z přílohy IV může Komise aktem v přenesené pravomoci určit, že produkt musí pro prokázání shody získat evropský certifikát kybernetické bezpečnosti alespoň na úrovni záruky „významná“ — a to jen tehdy, pokud pro danou kategorii existuje přijaté evropské schéma certifikace dostupné výrobcům. Požadovaná úroveň záruky má odpovídat riziku a zohlednit i kritickou závislost základních subjektů podle NIS 2 na daném produktu.

Produkt, který spadá pod CRA a je zároveň vysoce rizikovým systémem AI podle čl. 6 nařízení (EU) 2024/1689, se považuje za splňující požadavky na kybernetickou bezpečnost podle čl. 15 aktu o umělé inteligenci, pokud splňuje část I přílohy I, jeho výrobce splňuje část II přílohy I a dosažená úroveň ochrany je potvrzena v EU prohlášení o shodě vydaném podle CRA. Posuzování shody pak zpravidla běží postupem podle aktu o umělé inteligenci a oznámené subjekty příslušné pro AI jsou příslušné i pro požadavky přílohy I CRA. U důležitých a kritických produktů se ale pro kybernetické požadavky použijí postupy podle CRA.

Tohle je jádro nařízení pro každého, kdo něco dodává na trh. Vybrali jsme povinnosti výrobce (čl. 13), ohlašovací povinnosti (čl. 14), platformu, přes kterou se hlásí (čl. 16), zplnomocněného zástupce (čl. 18), povinnosti dovozce (čl. 19) a distributora (čl. 20), obě pravidla o přechodu povinností výrobce na jiné osoby (čl. 21 a 22) a režim správce open source softwaru (čl. 24). Vynechali jsme čl. 15 (dobrovolné podávání zpráv), čl. 17 (další ustanovení o podávání zpráv, míří na ENISA a sítě CSIRT), čl. 23 (identifikace hospodářských subjektů na žádost dozoru), čl. 25 (dobrovolné potvrzení o bezpečnosti open source, které teprve vznikne delegovaným aktem) a čl. 26 (pokyny Komise).

Nejrozsáhlejší článek nařízení, 25 odstavců. Výrobce musí produkt navrhnout, vyvinout a vyrobit podle části I přílohy I, provést posouzení kybernetických bezpečnostních rizik a jeho výsledek promítnout do plánování, návrhu, vývoje, výroby, dodání i údržby. Posouzení se dokumentuje, po dobu podpory aktualizuje a vkládá do technické dokumentace včetně odůvodnění u požadavků, které se na produkt nevztahují. Dále článek ukládá náležitou péči u komponent třetích stran včetně open source, hlášení zranitelnosti tomu, kdo komponentu udržuje, stanovení doby podpory nejméně na pět let, dostupnost vydaných bezpečnostních aktualizací po dobu nejméně deseti let, informační povinnosti na produktu a v příloze II, jednotné kontaktní místo pro uživatele, uvedení konce podpory v době nákupu a uchování dokumentace nejméně deset let.

Zavádí dvě samostatné ohlašovací povinnosti. Aktivně zneužívanou zranitelnost v produktu i závažný incident s dopadem na bezpečnost produktu hlásí výrobce současně týmu CSIRT určenému jako koordinátor a agentuře ENISA přes jednotnou platformu. U obojího běží stejná kaskáda: včasné varování bez zbytečného odkladu, nejpozději do 24 hodin od okamžiku, kdy se o věci dozví; navazující oznámení do 72 hodin; závěrečná zpráva u zranitelnosti nejpozději do 14 dnů od chvíle, kdy začalo být dostupné nápravné nebo zmírňující opatření, a u incidentu do jednoho měsíce od oznámení podle písmene b). Incident je závažný, pokud ovlivňuje nebo může ovlivnit schopnost produktu chránit dostupnost, autenticitu, integritu nebo důvěrnost citlivých či důležitých dat nebo funkcí, anebo pokud vedl či může vést k zavedení nebo spuštění škodlivého kódu v produktu nebo v systémech uživatele. Kdo je váš CSIRT, určuje hlavní provozovna v Unii; kdo ji nemá, postupuje kaskádou přes zplnomocněného zástupce, dovozce, distributora a počet uživatelů. Zasažené uživatele výrobce informuje, pokud možno ve strukturovaném a strojově čitelném formátu.

Platformu pro oznámení podle čl. 14 a 15 zřizuje a provozuje ENISA; členské státy a ENISA na ní mají vlastní koncové body elektronického oznamování. Tým CSIRT, který oznámení obdrží jako první, je neprodleně rozešle koordinátorům v členských státech, kde je produkt podle informací výrobce zpřístupněn. Za výjimečných okolností a zejména na žádost výrobce lze rozesílání z opodstatněných kybernetických důvodů na nezbytně nutnou dobu odložit; ve zvlášť výjimečných případech se ostatním zpřístupní jen omezená informace, dokud nelze rozeslat úplné oznámení. Odklad je možný i tehdy, když na zranitelnost běží koordinované zveřejňování podle NIS 2.

Výrobce může písemným pověřením jmenovat zplnomocněného zástupce. Do pověření nelze přenést jádro povinností výrobce z čl. 13 odst. 1 až 11, první pododstavec odst. 12 a odst. 14. Pověření musí zástupci umožňovat alespoň uchovávat EU prohlášení o shodě a technickou dokumentaci nejméně deset let nebo po dobu podpory, poskytovat je dozoru na odůvodněnou žádost a spolupracovat na odstranění rizik.

Dovozce smí uvést na trh jen produkt, který splňuje část I přílohy I a u něhož jsou postupy výrobce v souladu s částí II. Před uvedením na trh musí ověřit, že výrobce provedl posouzení shody podle čl. 32, vypracoval technickou dokumentaci, opatřil produkt označením CE, přiložil prohlášení o shodě a informace a pokyny podle přílohy II ve srozumitelném jazyce, a splnil identifikační a informační povinnosti podle čl. 13 odst. 15, 16 a 19. Při pochybnostech produkt neuvede na trh, a jde-li o významné kybernetické riziko, informuje výrobce i dozor. Dozví-li se o zranitelnosti, bez zbytečného odkladu informuje výrobce; kopii prohlášení o shodě uchovává nejméně deset let nebo po dobu podpory.

Distributor jedná s řádnou péčí a před dodáním na trh ověří, že produkt nese označení CE a že výrobce a dovozce splnili identifikační a informační povinnosti a předali potřebné dokumenty. Pokud má na základě informací, které má k dispozici, důvod se domnívat, že produkt nebo postupy výrobce nejsou ve shodě, nesmí produkt dodat na trh; při významném kybernetickém riziku informuje výrobce a dozor. Po zjištění zranitelnosti informuje bez zbytečného odkladu výrobce a spolupracuje s orgánem dozoru na jeho odůvodněnou žádost.

Jediná věta s velkým dopadem. Dovozce nebo distributor se považuje za výrobce a vztahují se na něj čl. 13 a 14, pokud uvede produkt na trh pod svým jménem nebo ochrannou známkou, anebo pokud u produktu, který už na trhu je, provede podstatnou změnu.

Osoba, která není výrobcem, dovozcem ani distributorem, ale provede podstatnou změnu produktu a dodá ho na trh, se považuje za výrobce. Povinnosti podle čl. 13 a 14 na ni dopadají v rozsahu části produktu dotčené změnou; pokud změna ovlivní kybernetickou bezpečnost produktu jako celku, tak v rozsahu celého produktu.

Správce open source softwaru zavede a ověřitelně zdokumentuje politiku kybernetické bezpečnosti, která podporuje bezpečný vývoj a účinné řešení zranitelností vývojáři produktu, podporuje dobrovolné hlášení podle čl. 15 a zohledňuje jeho specifickou povahu. Na odůvodněnou žádost poskytne tuto dokumentaci orgánu dozoru a spolupracuje s ním na zmírnění rizik. Ohlašovací povinnosti podle čl. 14 odst. 1 se na něj uplatní v rozsahu, v jakém je zapojen do vývoje produktů, a povinnosti podle čl. 14 odst. 3 a 8 v rozsahu, v jakém závažné incidenty ovlivňují sítě a systémy, které pro vývoj poskytuje.

Kapitola popisuje cestu od splnění požadavků k označení CE. Vybrali jsme předpoklad shody a společné specifikace (čl. 27), EU prohlášení o shodě (čl. 28), pravidla pro označení CE (čl. 30), technickou dokumentaci (čl. 31), postupy posuzování shody (čl. 32) a úlevy pro menší podniky (čl. 33). Vynechali jsme čl. 29, který jen odkazuje na obecné zásady označení CE v nařízení (ES) č. 765/2008, a čl. 34 o dohodách o vzájemném uznávání se třetími zeměmi — na povinnosti výrobce v Unii nemá přímý dopad.

U produktů a postupů, které jsou ve shodě s harmonizovanými normami nebo jejich částmi, na něž byl zveřejněn odkaz v Úředním věstníku, se předpokládá shoda s těmi požadavky přílohy I, na které se normy vztahují. Komise o vypracování norem žádá evropské normalizační organizace. Pokud normy nejsou dodány nebo neodpovídají žádosti a odkaz na ně se v Úředním věstníku ani neočekává, může Komise prováděcím aktem stanovit společné specifikace, které předpoklad shody zakládají obdobně. Předpoklad shody zakládá i certifikát nebo prohlášení v rámci evropského schématu certifikace přijatého podle nařízení (EU) 2019/881.

Prohlášení vypracuje výrobce, uvede v něm, že bylo prokázáno splnění příslušných požadavků přílohy I, a nese za jeho obsah odpovědnost. Vypracovává se podle vzoru v příloze V, obsahuje prvky z použitého postupu posuzování shody podle přílohy VIII, průběžně se aktualizuje a musí být dostupné v jazycích požadovaných členským státem, kde se produkt uvádí nebo dodává na trh. Zjednodušená verze podle vzoru v příloze VI musí obsahovat přesnou internetovou adresu na plné znění. Pokud produkt podléhá více unijním předpisům vyžadujícím prohlášení, vypracuje se jediné společné prohlášení.

Označení se umísťuje viditelně, čitelně a nesmazatelně na produkt; není-li to možné nebo opodstatněné, na obal a na přiložené EU prohlášení o shodě. U produktů ve formě softwaru se umísťuje buď na EU prohlášení o shodě, nebo na internetové stránky doprovázející produkt, kde musí být příslušná část snadno a přímo přístupná spotřebitelům. Umísťuje se před uvedením na trh a následuje po něm identifikační číslo oznámeného subjektu, pokud byl zapojen do posuzování podle modulu H.

Dokumentace musí obsahovat všechny údaje o prostředcích, kterými výrobce zajistil soulad produktu i svých postupů s přílohou I, a nejméně prvky uvedené v příloze VII. Vypracuje se před uvedením produktu na trh a průběžně se aktualizuje přinejmenším po dobu podpory. U produktů podle čl. 12, na které dopadají i jiné unijní předpisy s požadavky na dokumentaci, se vypracuje jediný soubor. Dokumentace a korespondence k posuzování shody se vede v jazyce členského státu oznámeného subjektu nebo v jazyce, který subjekt přijme.

U běžného produktu si výrobce vybírá mezi interní kontrolou (modul A), EU přezkoušením typu s návazným modulem C, komplexním zabezpečováním kvality (modul H) a případně evropským schématem certifikace. U důležitého produktu třídy I podle přílohy III platí, že pokud výrobce harmonizované normy, společné specifikace nebo certifikaci alespoň na úrovni „významná“ nepoužil, použil je jen zčásti, nebo neexistují, musí jít cestou modulu B a C, anebo modulu H. U třídy II je posouzení třetí stranou povinné vždy. U kritických produktů z přílohy IV se postupuje podle evropského schématu certifikace podle čl. 8 odst. 1, a pokud jeho podmínky splněny nejsou, podle režimu třídy II. Poplatky mají zohlednit potřeby menších podniků.

Členské státy mají pro menší podniky zajistit osvětu a školení, vyhrazený komunikační kanál pro dotazy k provádění nařízení a podporu testování a posuzování shody. Mohou také zřídit regulační sandboxy jako kontrolované testovací prostředí před uvedením produktu na trh. Mikropodniky a malé podniky mohou prvky technické dokumentace podle přílohy VII poskytnout ve zjednodušeném formátu; formulář má stanovit Komise prováděcím aktem a oznámené subjekty ho musí přijmout.

Vybrali jsme čtyři ustanovení, která mají přímý dopad na výrobce: dozor nad trhem (čl. 52), sankce (čl. 64), přechodná ustanovení (čl. 69) a použitelnost (čl. 71). Vynechali jsme celou kapitolu IV o oznamování subjektů posuzování shody (čl. 35 až 51) — je adresovaná členským státům a samotným subjektům, pro výrobce z ní plyne jediná praktická informace, totiž že je použitelná od 11. června 2026 a kapacita subjektů se teprve buduje. Vynechali jsme také procesní část dozoru (čl. 53 až 60), přenesené pravomoci a výborový postup (čl. 61 a 62), důvěrnost (čl. 63), zástupné žaloby (čl. 65), novely jiných předpisů (čl. 66 až 68) a hodnocení a přezkum (čl. 70).

Na produkty v působnosti nařízení se použije nařízení o dozoru nad trhem (EU) 2019/1020 a každý členský stát určí jeden nebo více orgánů dozoru. Tytéž orgány dozorují i povinnosti správců open source softwaru podle čl. 24. Při dohledu nad plněním ohlašovacích povinností spolupracují s týmy CSIRT a s ENISA, u produktů, které jsou zároveň vysoce rizikovými systémy AI, přebírají roli orgány určené podle aktu o umělé inteligenci. Zřizuje se specializovaná skupina pro správní spolupráci, která mimo jiné zveřejňuje statistiky o dobách podpory podle kategorií produktů a vydává k nim pokyny.

Sazby jsou odstupňované podle toho, co se poruší. Za nedodržení základních požadavků přílohy I a povinností podle čl. 13 a 14 hrozí správní pokuta do 15 000 000 EUR, nebo u podniku do 2,5 % celkového celosvětového ročního obratu za předchozí finanční rok, podle toho, co je vyšší. Za porušení povinností podle čl. 18 až 23, čl. 28, čl. 30 odst. 1 až 4, čl. 31 odst. 1 až 4, čl. 32 odst. 1 až 3, čl. 33 odst. 5 a čl. 39, 41, 47, 49 a 53 je hranice 10 000 000 EUR nebo 2 %. Za nesprávné, neúplné nebo zavádějící informace poskytnuté oznámeným subjektům a orgánům dozoru 5 000 000 EUR nebo 1 %. Při určení výše se přihlíží k povaze, závažnosti a době trvání porušení, k dříve uloženým pokutám a k velikosti subjektu. Odstavec 10 pak odchylně od odstavců 3 až 9 vylučuje pokuty u mikropodniků a malých podniků za nedodržení lhůty pro včasné varování podle čl. 14 odst. 2 písm. a) a odst. 4 písm. a) a u správců open source softwaru za jakékoli porušení nařízení.

Certifikáty EU přezkoušení typu a rozhodnutí o schválení vydané ke kybernetickým požadavkům podle jiných harmonizačních předpisů zůstávají v platnosti do 11. června 2028, pokud jim platnost neskončí dřív nebo pokud ty předpisy nestanoví jinak. Produkty uvedené na trh před 11. prosincem 2027 se nařízením řídí jen tehdy, projdou-li po tomto datu podstatnou změnou. Odchylně od toho se ale povinnosti podle čl. 14 vztahují na všechny produkty v působnosti nařízení, které byly uvedeny na trh před 11. prosincem 2027.

Nařízení vstoupilo v platnost dvacátým dnem po vyhlášení v Úředním věstníku. Použije se ode dne 11. prosince 2027, s dvěma výjimkami: článek 14 se použije od 11. září 2026 a kapitola IV, tedy články 35 až 51 o oznamování subjektů posuzování shody, od 11. června 2026. Nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.

Přílohy nesou většinu věcného obsahu nařízení. Příloha I obsahuje základní požadavky ve dvou částech, příloha II informace a pokyny pro uživatele, přílohy III a IV kategorie důležitých a kritických produktů, přílohy V a VI vzory EU prohlášení o shodě a jeho zjednodušené verze, příloha VII obsah technické dokumentace a příloha VIII postupy posuzování shody podle modulů A, B, C a H. Rozebíráme z nich šest; vzory prohlášení v přílohách V a VI necháváme stranou, protože jsou to formuláře, které se vyplňují, ne pravidla, která by se vykládala.

Bod 1 je obecný: produkt musí být navržen, vyvinut a vyroben tak, aby zajišťoval odpovídající úroveň kybernetické bezpečnosti podle rizik. Bod 2 pak obsahuje třináct konkrétních vlastností, písmena a) až m), které se uplatní v příslušných případech na základě posouzení rizik podle čl. 13 odst. 2 — dodání bez známých zneužitelných zranitelností, bezpečná výchozí konfigurace s možností návratu do původního stavu, opravitelnost bezpečnostními aktualizacemi, ochrana před neoprávněným přístupem, důvěrnost a integrita dat, minimalizace údajů, dostupnost základních funkcí i po incidentu, minimalizace vlastního nepříznivého dopadu, omezení prostoru k útoku, zmírnění dopadu incidentu, bezpečnostní logování a možnost bezpečně a trvale smazat nebo přenést data.

Osm požadavků na procesy výrobce. Určit a zdokumentovat zranitelnosti a komponenty produktu, mimo jiné softwarovým kusovníkem ve strojově čitelném formátu obsahujícím alespoň nejdůležitější závislosti. Neprodleně řešit a odstraňovat zranitelnosti, a je-li to technicky možné, dodávat bezpečnostní aktualizace odděleně od funkčních. Pravidelně testovat a přezkoumávat bezpečnost. Po vydání opravy zveřejnit informace o zranitelnosti, jejím dopadu a závažnosti a o způsobu nápravy, s možností zveřejnění v odůvodněných případech odložit. Zavést a prosazovat politiku koordinovaného zveřejňování zranitelností. Usnadnit sdílení informací a poskytnout kontaktní adresu pro hlášení. Mít mechanismy pro bezpečnou distribuci aktualizací, automatickou tam, kde to jde. Šířit bezpečnostní aktualizace neprodleně a bezplatně spolu s poradní zprávou.

Vyjmenovává, co musí být k produktu přiloženo: identifikace a kontaktní údaje výrobce, jednotné kontaktní místo pro hlášení zranitelností a odkaz na politiku koordinovaného zveřejňování, jednoznačná identifikace produktu, zamýšlený účel včetně bezpečnostního prostředí a bezpečnostních vlastností, známé nebo předvídatelné okolnosti, které mohou vést k významným rizikům, případně adresa k EU prohlášení o shodě, druh nabízené technické bezpečnostní podpory a datum skončení doby podpory, a podrobné pokyny nebo odkaz na ně — k uvedení do provozu, k dopadu změn na bezpečnost dat, k instalaci aktualizací a k bezpečnému vyřazení z provozu včetně smazání uživatelských dat.

Obsahuje dvě třídy. Třída I má devatenáct kategorií — mimo jiné software a hardware pro správu identit a privilegovaného přístupu, prohlížeče, správce hesel, antimalware, produkty s funkcí VPN, systémy řízení sítě, systémy řízení bezpečnostních informací a událostí, boot manažery, infrastrukturu veřejných klíčů, síťová rozhraní, operační systémy, směrovače a přepínače, mikroprocesory, mikrořadiče a obvody ASIC a FPGA s bezpečnostními funkcemi, hlasové asistenty a produkty pro chytré domácnosti s bezpečnostními funkcemi, připojené hračky se sociálními nebo lokalizačními funkcemi a nositelná zařízení sledující zdravotní stav. Třída II má čtyři kategorie: hypervizory a systémy runtime kontejnerů, firewally a systémy detekce a prevence narušení, a mikroprocesory a mikrořadiče odolné proti manipulaci.

Nejkratší příloha a zároveň ta s nejtěžšími následky. Obsahuje tři položky: hardwarová zařízení s bezpečnostními schránkami; brány inteligentních měřicích systémů podle směrnice (EU) 2019/944 a další zařízení určená pro vyšší úroveň zabezpečení; a čipové karty nebo podobná zařízení včetně zabezpečených prvků.

Osm bodů. Všeobecný popis produktu včetně zamýšleného účelu, verzí ovlivňujících shodu, případně fotografií a informací a pokynů podle přílohy II. Popis návrhu, vývoje a výroby a postupů řešení zranitelností — sem patří architektura, softwarový kusovník, politika koordinovaného zveřejňování, doklad o kontaktní adrese pro hlášení a popis bezpečné distribuce aktualizací. Posouzení kybernetických bezpečnostních rizik podle čl. 13 včetně toho, jak se uplatní požadavky části I přílohy I. Informace, ze kterých výrobce vyšel při stanovení doby podpory. Seznam použitých harmonizovaných norem a společných specifikací, nebo popis vlastních zvolených řešení, pokud použity nebyly. Protokoly o zkouškách. Kopie EU prohlášení o shodě. A na odůvodněnou žádost dozoru softwarový kusovník.

Popisuje moduly, na které odkazuje čl. 32. Část I je interní kontrola podle modulu A: výrobce vypracuje technickou dokumentaci podle přílohy VII, na vlastní odpovědnost zaručí soulad produktu i svých postupů s přílohou I, umístí označení CE a vypracuje písemné EU prohlášení o shodě, které spolu s dokumentací uchovává nejméně deset let nebo po dobu podpory. Další části popisují EU přezkoušení typu podle modulu B, kde oznámený subjekt přezkoumá technický návrh, vývoj a postupy řešení zranitelností, navazující shodu s typem podle modulu C a posuzování založené na komplexním zabezpečování kvality podle modulu H.