Konformitätsbewertung nach der EU-Cyberresilienz-Verordnung
Sytance · Aktualisiert
Die Konformitätsbewertung nach dem CRA ist das rechtliche Verfahren, mit dem nachgewiesen wird, dass ein Produkt im Anwendungsbereich und die Verfahren des Herstellers Anhang I erfüllen. Die Produktkategorie bestimmt, welche Bewertungsverfahren verfügbar oder vorgeschrieben sind.
Gegenstand der Bewertung
Der Hersteller muss das Produkt mit digitalen Elementen und die von ihm eingerichteten Verfahren einer Konformitätsbewertung unterziehen, um festzustellen, ob die grundlegenden Cybersicherheitsanforderungen nach Anhang I erfüllt sind.
Verordnung (EU) 2024/2847, Artikel 32 Absatz 1
Artikel 32 betrifft beide Teile von Anhang I. Das Produkt muss die Cybersicherheitsanforderungen an das Produkt in Teil I erfüllen. Die Verfahren des Herstellers zum Umgang mit Schwachstellen müssen Teil II erfüllen.
Eine positive Bewertung stützt die technische Dokumentation, die EU-Konformitätserklärung und die CE-Kennzeichnung. Sie ändert die Produktkategorie nicht. Die Kategorie bestimmt, welche Bewertungsverfahren möglich sind.
Konformitätsverfahren
Artikel 32 nennt vier Verfahren. Welches Verfahren geeignet ist, hängt vor allem von der Produktkategorie, der Verwendung harmonisierter Normen oder gemeinsamer Spezifikationen und der Möglichkeit ab, ein einschlägiges Cybersicherheitszertifizierungsschema zu nutzen.
Modul A
Interne Fertigungskontrolle. Der Hersteller bewertet das Produkt und erklärt eigenverantwortlich dessen Konformität.
Modul B plus Modul C
Eine notifizierte Stelle prüft den Baumusterentwurf. Anschließend kontrolliert der Hersteller die Produktion anhand dieses Baumusters.
Modul H
Umfassende Qualitätssicherung. Eine notifizierte Stelle bewertet das Qualitätssicherungssystem des Herstellers für die Produkte im Anwendungsbereich.
Cybersicherheitszertifizierung
Ein anwendbares europäisches Cybersicherheitszertifizierungsschema kann genutzt werden, wenn Artikel 27 oder Artikel 8 dieses Verfahren eröffnet.
Klassifizierung und Auswahl des Verfahrens
Standardprodukte können das Verfahren der internen Kontrolle nutzen. Für wichtige und kritische Produkte gelten strengere Bewertungsverfahren. Dies betrifft auch Produkte der Klasse I, wenn einschlägige Normen, gemeinsame Spezifikationen oder Zertifizierungen die geltenden Anforderungen nicht vollständig abdecken.
Für Standardprodukte kann das Verfahren nach Artikel 32 Absatz 1 einschließlich Modul A genutzt werden. Der Hersteller kann dennoch ein strengeres Verfahren wählen.
Produkte der Klasse I können Artikel 32 Absatz 1 nur für Anforderungen anwenden, die von den angewandten harmonisierten Normen, gemeinsamen Spezifikationen oder einer Zertifizierung mit einem Vertrauensniveau von mindestens „substanziell“ abgedeckt werden. Für die übrigen Anforderungen ist Modul B plus C oder Modul H erforderlich.
Für Produkte der Klasse II ist Modul B plus C, Modul H oder ein anwendbares europäisches Cybersicherheitszertifizierungsschema mit einem Vertrauensniveau von mindestens „substanziell“ zu verwenden.
Kritische Produkte nach Anhang IV werden nach Artikel 8 Absatz 1 zertifiziert, wenn dieses Verfahren ausgelöst wird. Sind die Voraussetzungen von Artikel 8 Absatz 1 nicht erfüllt, gelten für sie die Verfahren der Klasse II nach Artikel 32 Absatz 3.
Wichtige freie und Open-Source-Software nach Anhang III kann die Verfahren nach Artikel 32 Absatz 1 nutzen, sofern die technische Dokumentation nach Artikel 31 bei Bereitstellung des Produkts auf dem Markt öffentlich ist.
Normen und Zertifizierung
Artikel 27 erläutert, wie Normen, gemeinsame Spezifikationen und Cybersicherheitszertifizierungen die Konformität unterstützen können. Diese Instrumente sind nicht gleichzusetzen und haben nicht dieselbe rechtliche Wirkung.
- Eine harmonisierte Norm begründet nur für die Anforderungen nach Anhang I eine Konformitätsvermutung, die von der veröffentlichten Normenfundstelle abgedeckt werden.
- Auch eine gemeinsame Spezifikation kann für die von ihr abgedeckten Anforderungen eine Konformitätsvermutung begründen.
- Ein europäisches Cybersicherheitszertifikat kann für die abgedeckten Anforderungen eine Konformitätsvermutung begründen.
- Ein durch delegierten Rechtsakt nach Artikel 27 Absatz 9 festgelegtes Zertifikat mit einem Vertrauensniveau von mindestens „substanziell“ kann für die entsprechenden Anforderungen die Bewertung durch Dritte entfallen lassen.
Dokumentation, Erklärung und CE-Kennzeichnung
Vor dem Inverkehrbringen des Produkts erstellt der Hersteller die technische Dokumentation und die EU-Konformitätserklärung. Die Erklärung bestätigt, dass die geltenden Anforderungen aus Anhang I erfüllt wurden. Die Dokumentation ist während des Unterstützungszeitraums bei Bedarf zu aktualisieren.
- Die technische Dokumentation enthält die Daten oder Einzelheiten, mit denen die Erfüllung von Anhang I durch das Produkt und die Verfahren nachgewiesen wird.
- Die EU-Konformitätserklärung folgt dem Musteraufbau in Anhang V oder, falls verwendet, dem vereinfachten Verfahren nach Anhang VI.
- Die CE-Kennzeichnung ist vor dem Inverkehrbringen des Produkts anzubringen. Bei Software kann sie auf der Erklärung oder auf der Website erscheinen, die dem Softwareprodukt beiliegt.
- Bei Verwendung von Modul H folgt auf die CE-Kennzeichnung die Kennnummer der notifizierten Stelle.