Le Cyber Resilience Act atteint-il votre produit ?

À qui cela s'applique

Une entreprise qui cherche si le règlement atteint ce qu'elle vend : le logiciel installé ou téléchargeable est dedans, le logiciel en tant que service pur non, et le traitement de données à distance sans lequel le produit ne fonctionne pas entre avec le produit.

Les dates

Avant que le moindre délai ne compte, car toutes les autres obligations découlent de cette réponse.

La seule chose à faire

Répondez aux questions de cette page pour un produit, et gardez le résultat avec sa raison, car la décision vous revient et doit être consignée.

La détermination

Répondez à la première question et la lecture commence ; la page se remplit au fur et à mesure.

Ce que l'outil demande, et ce qu'il peut répondre

L'outil pose 6 questions et les révèle une à une. Elles sont toutes ici, avec chaque réponse qu'il peut atteindre, pour suivre le raisonnement sans rien répondre.

1. Que mettez-vous sur le marché de l'UE ?
2. Le produit a-t-il une connexion de données, directe ou indirecte, logique ou physique ?
3. Y a-t-il un traitement de votre côté sans lequel le produit ne peut pas exécuter l'une de ses fonctions ?
4. L'un de ces textes couvre-t-il déjà le produit ?
5. Le produit figure-t-il à l'annexe III ou à l'annexe IV ?
6. Où se trouve votre établissement principal ?

Les quatre réponses

Hors du CRA

Un service sans produit derrière lui, ou un produit qu'un autre instrument de l'UE couvre déjà : dispositifs médicaux, véhicules à moteur, aviation civile et équipements marins sont exclus, et un logiciel libre et open source hors activité commerciale n'est pas mis sur le marché.

Dans le champ, par défaut

La plupart des produits comportant des éléments numériques. Les exigences essentielles s'appliquent et la conformité est auto-évaluée : vous constituez la documentation technique, réalisez l'évaluation vous-même et signez la déclaration.

Dans le champ, important

Un produit de l'annexe III. La classe I peut rester auto-évaluée si une norme harmonisée la couvre ; la classe II exige un tiers. Les deux figurent dans les catégories ci-dessous.

Dans le champ, critique

Un produit de l'annexe IV. La Commission peut exiger un certificat européen de cybersécurité, et la conformité passe par un organisme notifié.

Les catégories des annexes III et IV

Dans les termes mêmes du règlement, en anglais, parce que c'est le texte que lisent un organisme notifié et une autorité de surveillance du marché. La référence donne l'annexe, la classe et le point.

Annexe III, classe I (important)

• III.I.1Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers
• III.I.2Standalone and embedded browsers
• III.I.3Password managers
• III.I.4Software that searches for, removes, or quarantines malicious software
• III.I.5Products with digital elements with the function of virtual private network (VPN)
• III.I.6Network management systems
• III.I.7Security information and event management (SIEM) systems
• III.I.8Boot managers
• III.I.9Public key infrastructure and digital certificate issuance software
• III.I.10Physical and virtual network interfaces
• III.I.11Operating systems
• III.I.12Routers, modems intended for the connection to the internet, and switches
• III.I.13Microprocessors with security-related functionalities
• III.I.14Microcontrollers with security-related functionalities
• III.I.15Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) with security-related functionalities
• III.I.16Smart home general purpose virtual assistants
• III.I.17Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
• III.I.18Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council that have social interactive features (e.g. speaking or filming) or that have location tracking features
• III.I.19Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) No 2017/746 do not apply, or personal wearable products that are intended for the use by and for children

Annexe III, classe II (important)

• III.II.1Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments
• III.II.2Firewalls, intrusion detection and prevention systems
• III.II.3Tamper-resistant microprocessors
• III.II.4Tamper-resistant microcontrollers

Annexe IV (critique)

• IV.1Hardware Devices with Security Boxes
• IV.2Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council and other devices for advanced security purposes, including for secure cryptoprocessing
• IV.3Smartcards or similar devices, including secure elements

Calculer les trois délaisL'article sur le champ d'application, avec le raisonnement détailléQuelles parties de votre backend sont dans le CRA