Erreicht der Cyber Resilience Act Ihr Produkt?

Für wen es gilt

Ein Unternehmen, das prüft, ob die Verordnung das erreicht, was es verkauft: installierte und herunterladbare Software ist drin, reines Software as a Service nicht, und Datenfernverarbeitung, ohne die das Produkt nicht funktioniert, kommt mit dem Produkt herein.

Die Termine

Bevor irgendeine Frist zählt, denn jede weitere Pflicht folgt aus dieser Antwort.

Das eine, was zu tun ist

Beantworten Sie die Fragen dieser Seite für ein Produkt und bewahren Sie das Ergebnis mit seiner Begründung auf, denn die Feststellung zu treffen und festzuhalten ist Ihre Sache.

Die Feststellung

Beantworten Sie die erste Frage, und die Lesart beginnt; die Seite füllt sich, während Sie antworten.

Was hier gefragt wird und was dabei herauskommen kann

Das Werkzeug stellt 6 Fragen und zeigt sie einzeln. Hier stehen alle, mit jedem Ergebnis, das es erreichen kann, damit Sie die Begründung nachvollziehen können, ohne etwas zu beantworten.

1. Was bringen Sie auf den EU-Markt?
2. Hat das Produkt eine direkte oder indirekte, logische oder physische Datenverbindung?
3. Gibt es eine Verarbeitung auf Ihrer Seite, ohne die das Produkt eine seiner Funktionen nicht ausführen kann?
4. Wird das Produkt bereits von einem dieser Rechtsakte erfasst?
5. Steht das Produkt in Anhang III oder Anhang IV?
6. Wo ist Ihre Hauptniederlassung?

Die vier Ergebnisse

Außerhalb der CRA

Ein Dienst ohne Produkt dahinter oder ein Produkt, das bereits ein anderes EU-Instrument erfasst: Medizinprodukte, Kraftfahrzeuge, Zivilluftfahrt und Schiffsausrüstung sind ausgenommen, und freie und quelloffene Software außerhalb einer Geschäftstätigkeit wird nicht in Verkehr gebracht.

Im Anwendungsbereich, Standard

Die meisten Produkte mit digitalen Elementen. Die grundlegenden Anforderungen gelten, und die Konformität wird selbst bewertet: Sie erstellen die technische Dokumentation, führen die Bewertung selbst durch und unterzeichnen die Erklärung.

Im Anwendungsbereich, wichtig

Ein Produkt aus Anhang III. Klasse I darf weiterhin selbst bewertet werden, wenn eine harmonisierte Norm es abdeckt; Klasse II erfordert einen Dritten. Beide stehen in den unten aufgeführten Kategorien.

Im Anwendungsbereich, kritisch

Ein Produkt aus Anhang IV. Die Kommission kann ein europäisches Cybersicherheitszertifikat verlangen, und die Konformität läuft über eine benannte Stelle.

Die Kategorien aus Anhang III und Anhang IV

Im Wortlaut der Verordnung, auf Englisch, denn das ist der Text, den eine benannte Stelle und eine Marktüberwachungsbehörde lesen. Die Fundstelle nennt Anhang, Klasse und Nummer.

Anhang III, Klasse I (wichtig)

• III.I.1Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers
• III.I.2Standalone and embedded browsers
• III.I.3Password managers
• III.I.4Software that searches for, removes, or quarantines malicious software
• III.I.5Products with digital elements with the function of virtual private network (VPN)
• III.I.6Network management systems
• III.I.7Security information and event management (SIEM) systems
• III.I.8Boot managers
• III.I.9Public key infrastructure and digital certificate issuance software
• III.I.10Physical and virtual network interfaces
• III.I.11Operating systems
• III.I.12Routers, modems intended for the connection to the internet, and switches
• III.I.13Microprocessors with security-related functionalities
• III.I.14Microcontrollers with security-related functionalities
• III.I.15Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) with security-related functionalities
• III.I.16Smart home general purpose virtual assistants
• III.I.17Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
• III.I.18Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council that have social interactive features (e.g. speaking or filming) or that have location tracking features
• III.I.19Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) No 2017/746 do not apply, or personal wearable products that are intended for the use by and for children

Anhang III, Klasse II (wichtig)

• III.II.1Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments
• III.II.2Firewalls, intrusion detection and prevention systems
• III.II.3Tamper-resistant microprocessors
• III.II.4Tamper-resistant microcontrollers

Anhang IV (kritisch)

• IV.1Hardware Devices with Security Boxes
• IV.2Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council and other devices for advanced security purposes, including for secure cryptoprocessing
• IV.3Smartcards or similar devices, including secure elements

Die drei Fristen ausrechnenDer Artikel zum Anwendungsbereich, mit der Begründung im DetailWelche Teile Ihres Backends im CRA liegen