Reikt de Cyber Resilience Act tot uw product?

Voor wie het geldt

Een bedrijf dat uitzoekt of de verordening reikt tot wat het verkoopt: geïnstalleerde en downloadbare software valt eronder, zuivere software as a service niet, en gegevensverwerking op afstand waar het product niet zonder kan komt met het product mee.

De data

Voordat welke termijn dan ook telt, want elke andere plicht volgt uit dit antwoord.

Het ene wat u moet doen

Beantwoord de vragen op deze pagina voor één product en bewaar het resultaat met de reden, want de bepaling is aan u om te maken en vast te leggen.

De bepaling

Beantwoord de eerste vraag en de lezing begint; de pagina vult zich terwijl u verdergaat.

Wat dit vraagt, en wat eruit kan komen

Het hulpmiddel stelt 6 vragen en toont ze één voor één. Ze staan hier allemaal, met elke uitkomst die het kan bereiken, zodat u de redenering kunt volgen zonder iets te beantwoorden.

1. Wat brengt u op de EU-markt?
2. Heeft het product een directe of indirecte, logische of fysieke dataverbinding?
3. Is er verwerking aan uw kant zonder welke het product een van zijn functies niet kan uitvoeren?
4. Valt het product al onder een van deze regelingen?
5. Staat het product in bijlage III of bijlage IV?
6. Waar is uw hoofdvestiging?

De vier uitkomsten

Buiten de CRA

Een dienst zonder product erachter, of een product dat een ander EU-instrument al dekt: medische hulpmiddelen, motorvoertuigen, burgerluchtvaart en zeevaartuitrusting vallen eruit, en vrije en opensourcesoftware buiten een handelsactiviteit wordt niet in de handel gebracht.

Binnen het toepassingsgebied, standaard

De meeste producten met digitale elementen. De essentiële eisen gelden en de conformiteit wordt zelf beoordeeld: u stelt het technisch dossier op, voert de beoordeling zelf uit en ondertekent de verklaring.

Binnen het toepassingsgebied, belangrijk

Een product uit bijlage III. Klasse I mag nog zelf worden beoordeeld als een geharmoniseerde norm het dekt; klasse II vereist een derde partij. Beide staan in de categorieën hieronder.

Binnen het toepassingsgebied, kritiek

Een product uit bijlage IV. De Commissie kan een Europees cyberbeveiligingscertificaat eisen, en de conformiteit loopt via een aangemelde instantie.

De categorieën van bijlage III en bijlage IV

In de bewoordingen van de verordening zelf, in het Engels, want dat is de tekst die een aangemelde instantie en een markttoezichthouder lezen. De verwijzing noemt de bijlage, de klasse en het punt.

Bijlage III, klasse I (belangrijk)

• III.I.1Identity management systems and privileged access management software and hardware, including authentication and access control readers, including biometric readers
• III.I.2Standalone and embedded browsers
• III.I.3Password managers
• III.I.4Software that searches for, removes, or quarantines malicious software
• III.I.5Products with digital elements with the function of virtual private network (VPN)
• III.I.6Network management systems
• III.I.7Security information and event management (SIEM) systems
• III.I.8Boot managers
• III.I.9Public key infrastructure and digital certificate issuance software
• III.I.10Physical and virtual network interfaces
• III.I.11Operating systems
• III.I.12Routers, modems intended for the connection to the internet, and switches
• III.I.13Microprocessors with security-related functionalities
• III.I.14Microcontrollers with security-related functionalities
• III.I.15Application specific integrated circuits (ASIC) and field-programmable gate arrays (FPGA) with security-related functionalities
• III.I.16Smart home general purpose virtual assistants
• III.I.17Smart home products with security functionalities, including smart door locks, security cameras, baby monitoring systems and alarm systems
• III.I.18Internet connected toys covered by Directive 2009/48/EC of the European Parliament and of the Council that have social interactive features (e.g. speaking or filming) or that have location tracking features
• III.I.19Personal wearable products to be worn or placed on a human body that have a health monitoring (such as tracking) purpose and to which Regulation (EU) 2017/745 or (EU) No 2017/746 do not apply, or personal wearable products that are intended for the use by and for children

Bijlage III, klasse II (belangrijk)

• III.II.1Hypervisors and container runtime systems that support virtualised execution of operating systems and similar environments
• III.II.2Firewalls, intrusion detection and prevention systems
• III.II.3Tamper-resistant microprocessors
• III.II.4Tamper-resistant microcontrollers

Bijlage IV (kritiek)

• IV.1Hardware Devices with Security Boxes
• IV.2Smart meter gateways within smart metering systems as defined in Article 2, point (23) of Directive (EU) 2019/944 of the European Parliament and of the Council and other devices for advanced security purposes, including for secure cryptoprocessing
• IV.3Smartcards or similar devices, including secure elements

Bereken de drie termijnenHet artikel over het toepassingsgebied, met de redenering in detailWelke delen van uw backend onder de CRA vallen