Cyber Resilience Act: alle værktøjer og artikler
Forordning (EU) 2024/2847, bilag III, og forordning (EU) 2023/1230
Du laver industrielt eller forbundet udstyr. Hvad kræver CRA af dig?
- Omfattet?
- Ja. En styring, et drev, en sensor eller en maskine med digitale elementer er omfattet.
- Hvilken klasse?
- Standard for udstyret selv. Det er net- og sikkerhedslaget omkring det, der står på listen.
- Fra hvornår?
- Indberetning siden 11. september 2026. Maskiner fra 20. januar 2027. CRA fuldt ud fra 11. december 2027.
Hvad leverer du?
Hvad der står på listen omkring maskinen
| Punkt | Klasse | Som forordningen formulerer det |
|---|---|---|
| III.I.1 | Klasse I | Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers |
| III.I.5 | Klasse I | Products with digital elements with the function of virtual private network (VPN) |
| III.I.6 | Klasse I | Network management systems |
| III.I.10 | Klasse I | Physical and virtual network interfaces |
| III.I.11 | Klasse I | Operating systems |
| III.I.12 | Klasse I | Routers, modems intended for the connection to the internet, and switches |
| III.I.13 | Klasse I | Microprocessors with security-related functionalities |
| III.I.14 | Klasse I | Microcontrollers with security-related functionalities |
| III.II.1 | Klasse II | Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments |
| III.II.2 | Klasse II | Firewalls, intrusion detection and prevention systems |
Forordning (EU) 2024/2847, bilag III, læst i EU-Tidende med dens berigtigelser; indberetningspligterne gælder siden 11. september 2026.
Maskinen skylder en forordning mere
En maskine med digitale elementer er samtidig en maskine efter maskinforordningen. Forordning (EU) 2023/1230 gælder fra 20. januar 2027 og kræver i bilag III, at tilslutning af en enhed ikke skaber en farlig situation, at software og data, der er kritiske for sikkerheden, er beskyttet mod forvanskning, og at indgreb i dem efterlader spor. Den har sin egen tekniske dokumentation, og CRA's erstatter den ikke.
Teknisk dokumentation for maskinerTo veje til at være klar
CRA-parathed, 1.500 €, 10 arbejdsdage
Vi afgrænser dit produkt, opgør afvigelserne i forhold til bilag I, sætter indberetningsvejen op og skriver den tekniske dokumentation sammen med dig.
Se hvad det dækkerCRA-pakke teknisk dokumentation, 2.000 €
Den samme dokumentation, skrevet af dig ud fra vores skabelon og din produktoptegnelse, uden opgave.
Se pakkenSpørgsmål vi ofte får
- Vores styring sælges til maskinbyggere, ikke til slutbrugere. Gælder CRA alligevel?
- Ja. Pligterne følger, at et produkt med digitale elementer bringes i omsætning på EU-markedet, ikke hvem der køber det. En komponent, der sælges til en anden producent, bringes i omsætning.
- Maskinen er ikke på internettet. Er vi udenfor?
- Nej. Forordningen omfatter produkter med digitale elementer, hvis tilsigtede anvendelse omfatter en direkte eller indirekte dataforbindelse til en enhed eller et net; et fabriksnet eller en servicebærbar er det.
- Skal der et bemyndiget organ til hele maskinen eller kun til den del, der står på listen?
- Kun til det produkt, der står på listen. En firewall, der bringes i omsætning som produkt, hører under bilag III klasse II og vurderes som det produkt; maskinen, den beskytter, bliver i standardklassen, og den vurderer du selv.
- Hvad gælder allerede nu, før 11. december 2027?
- Indberetningspligten. Siden 11. september 2026 skal en aktivt udnyttet sårbarhed eller en alvorlig hændelse indberettes, først inden 24 timer og dernæst inden 72.