Udokumentowane „nie” jest warte tyle, co „tak”: jak broni się producent

Asymetria: organ weryfikuje proces, nie tylko wynik

Gdy kontroler patrzy na sprawę, nie pyta „zgłosiliście czy nie?”. Pyta, czy byliście w stanie zdecydować i czy zdecydowaliście w sposób odtwarzalny. To punkt, który prawie wszyscy przeoczają: dający się obronić akt z pisemnym „nie” zawsze wygrywa z nieudokumentowanym „tak”, bo pierwszy pokazuje działający proces, a drugi tylko szczęście.

Producent, który z ostrożności zgłosił wszystko, ale nie umie wyjaśnić dlaczego, jest w słabszej pozycji niż ten, który nie zgłosił niczego, bo — przypadek po przypadku — żadne zdarzenie nie osiągnęło progu, i potrafi to udowodnić. Obowiązkiem nie jest zgłaszać: jest poprawnie zakwalifikować każde zdarzenie i działać zgodnie z kwalifikacją. Obowiązki zgłaszania z art. 14 zakładają ocenę; to ocenę organ kontroluje.

Co zawiera dobry zapis

Zapis, który się broni, nie jest długim dokumentem. Jest krótkim, który bez wykrętów odpowiada na sześć pytań. Zdarzenie: co wpłynęło i jakim kanałem. Chwila powzięcia wiedzy: znacznik czasu, od którego biegnie każdy termin, zapisany, gdy nastąpił. Kwalifikacja: wykorzystywana czy nie, incydent czy nie — z zastosowanym artykułem obok, bo to ten artykuł ustala terminy.

Potem rozumowanie: dwa, trzy zdania, dlaczego zdarzenie tak zakwalifikowano. Dowody: log, e-mail, wynik skanera, notatka analityka — to, na czym rozumowanie się opiera. Na końcu obliczone terminy: nawet gdy wniosek brzmi „brak obowiązku”, zapisanie terminów, przed którymi by się stało, dowodzi, że wiedziano o istnieniu zegara. Bez kroku kwalifikacji niczego nie da się obliczyć — to najczęstsza wada w pokazywanych nam procesach wewnętrznych.

Organ może zapytać z krótkim wyprzedzeniem

Organ nadzoru rynku może zażądać dokumentacji wykazującej zgodność — z krótkim wyprzedzeniem i bez obowiązku wyjaśniania, po co pyta. Dokumentacja dowodowa istnieje właśnie po to, by odpowiedzieć tym, co już istnieje, zamiast rekonstruować pod presją miesiące decyzji — rekonstrukcja, choćby najuczciwsza, zawsze czyta się jako sporządzona po fakcie.

Różnica między dwiema sytuacjami to nie jakość Waszej inżynierii. To czy decyzję uchwycono w chwili jej podjęcia. Zapis sporządzony tego samego dnia jest dowodem; ta sama treść wpisana w tygodniu kontroli to opowieść, a kontrolerzy znają różnicę.

Należyta staranność i współpraca zmniejszają ekspozycję

Sankcje nie są teoretyczne. Naruszenie obowiązków z art. 13 i 14 może sięgnąć piętnastu milionów euro lub 2,5 % rocznego światowego obrotu, zależnie od tego, co wyższe. Ale rozporządzenie każe organom ważyć charakter i wagę naruszenia, czy było niedbałe czy umyślne, i okazany stopień współpracy. Udokumentowany proces to konkretna postać, jaką przybiera „należyta staranność”.

Dwóch producentów z tym samym pominiętym zgłoszeniem nie jest traktowanych tak samo. Ten, kto potrafi wykazać, że ocenił zdarzenie, doszedł w dobrej wierze do dającego się obronić wniosku i współpracował, gdy błąd wyszedł na jaw, argumentuje z pozycji, której drugi nie ma. Akt nie tylko zapobiega zaniechaniu — kształtuje odpowiedź, gdy coś i tak pójdzie źle.

Konkretny przykład: zależność uznana za „niewykorzystywaną”

Skaner wskazuje znaną podatność w bibliotece zewnętrznej dołączonej do Waszego produktu. Inżynier patrzy i stwierdza, że w Waszej konfiguracji nie jest wykorzystywalna: podatna ścieżka kodu nigdy nie jest osiągana. Wniosek jest zapewne słuszny. Nigdzie nie zapisany, za pół roku jest nic niewart.

Oto jeden akapit, który by się obronił. „CVE-XXXX-NNNN wskazana przez skan SBOM 5 sierpnia 2026, 09:12, w bibliotece X v2.3, komponencie produktu Y. Oceniona tego samego dnia: brak wiarygodnych dowodów wykorzystywania w środowisku rzeczywistym; dotknięta funkcja nie jest wywoływana w naszym buildzie (graf wywołań w załączeniu). Zakwalifikowana jako podatność niewykorzystywana wg art. 3(42): obowiązek wczesnego ostrzeżenia z art. 14 nieuruchomiony. Poprawka zaplanowana na następne wydanie serwisowe. Recenzent: [imię i nazwisko].” To wystarczy. Nazywa zdarzenie, ostemplowane powzięcie wiedzy, kwalifikację z artykułem, rozumowanie, dowody i fakt, że zegar terminów świadomie sprawdzono i uznano za nieuruchomiony.

Pomnóż ten akapit przez garść zdarzeń przecinających co miesiąc Wasz kanał, a będziecie mieli dokumentację dowodową, której prowadzenie kosztuje minuty i która odpowiada na kontrolę bez jednej rekonstrukcji. „Nie” jest udokumentowane, a udokumentowane „nie” jest warte tyle, co „tak”.