Når Cyber Resilience Act jeres produkt?

Hvem det gælder for

En virksomhed, der undersøger, om forordningen når det, den sælger: installeret software og software til download er omfattet, rent software as a service er ikke, og fjerndatabehandling, som produktet ikke kan fungere uden, følger med produktet ind.

Datoerne

Før nogen frist overhovedet tæller, for alle andre pligter følger af det svar.

Det ene, der skal gøres

Besvar spørgsmålene på denne side for ét produkt, og gem resultatet med begrundelsen, for afgørelsen er jeres at træffe og at notere.

Fastlæggelsen

Svar på det første spørgsmål, så begynder læsningen; siden udfyldes, mens I svarer.

Hvad der spørges om, og hvad der kan komme ud af det

Værktøjet stiller 6 spørgsmål og viser dem et ad gangen. De står alle her, med hvert resultat det kan nå frem til, så I kan følge ræsonnementet uden at svare på noget.

1. Hvad bringer I i omsætning på EU-markedet?
2. Har produktet en direkte eller indirekte, logisk eller fysisk dataforbindelse?
3. Er der behandling på jeres side, som produktet ikke kan udføre en af sine funktioner uden?
4. Er produktet allerede dækket af en af disse?
5. Står produktet i bilag III eller bilag IV?
6. Hvor er jeres hovedforretningssted?

De fire resultater

Uden for CRA

En tjeneste uden et produkt bag sig, eller et produkt som et andet EU-instrument allerede dækker: medicinsk udstyr, motorkøretøjer, civil luftfart og skibsudstyr er undtaget, og fri og open source-software uden for en kommerciel aktivitet bringes ikke i omsætning.

Omfattet, standard

De fleste produkter med digitale elementer. De væsentlige krav gælder, og overensstemmelsen vurderes selv: I laver den tekniske dokumentation, udfører vurderingen selv og underskriver erklæringen.

Omfattet, vigtigt

Et produkt fra bilag III. Klasse I må stadig vurderes selv, hvis en harmoniseret standard dækker det; klasse II kræver tredjepart. Begge står i kategorierne nedenfor.

Omfattet, kritisk

Et produkt fra bilag IV. Kommissionen kan kræve et europæisk cybersikkerhedscertifikat, og overensstemmelsen går gennem et bemyndiget organ.

Kategorierne i bilag III og bilag IV

Med forordningens egne ord, på engelsk, for det er den tekst, et bemyndiget organ og en markedsovervågningsmyndighed læser. Henvisningen nævner bilag, klasse og punkt.

Bilag III, klasse I (vigtigt)

• III.I.1Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers
• III.I.2Standalone and embedded browsers
• III.I.3Password managers
• III.I.4Software that searches for, removes, or quarantines malicious software
• III.I.5Products with digital elements with the function of virtual private network (VPN)
• III.I.6Network management systems
• III.I.7Security information and event management (SIEM) systems
• III.I.8Boot managers
• III.I.9Public key infrastructure and digital certificate issuance software
• III.I.10Physical and virtual network interfaces
• III.I.11Operating systems
• III.I.12Routers, modems intended for the connection to the internet, and switches
• III.I.13Microprocessors with security-related functionalities
• III.I.14Microcontrollers with security-related functionalities
• III.I.15Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) with security-related functionalities
• III.I.16Smart home general purpose virtual assistants
• III.I.17Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
• III.I.18Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council that have social interactive features (e.g. speaking or filming) or that have location tracking features
• III.I.19Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) No 2017/746 do not apply, or personal wearable products that are intended for the use by and for children

Bilag III, klasse II (vigtigt)

• III.II.1Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments
• III.II.2Firewalls, intrusion detection and prevention systems
• III.II.3Tamper-resistant microprocessors
• III.II.4Tamper-resistant microcontrollers

Bilag IV (kritisk)

• IV.1Hardware Devices with Security Boxes
• IV.2Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council and other devices for advanced security purposes, including for secure cryptoprocessing
• IV.3Smartcards or similar devices, including secure elements

Regn de tre frister udArtiklen om anvendelsesområdet, med begrundelsen i detaljerHvilke dele af jeres backend ligger inden for CRA