Conformiteitsbeoordeling onder de EU-verordening cyberweerbaarheid
Sytance · Bijgewerkt
Conformiteitsbeoordeling onder de CRA is de wettelijke procedure waarmee wordt aangetoond dat een product binnen de scope en de processen van de fabrikant aan bijlage I voldoen. De productcategorie bepaalt welke beoordelingsroutes beschikbaar of vereist zijn.
Beoordelingsobject
De fabrikant moet het product met digitale elementen en de door hem ingevoerde processen aan een conformiteitsbeoordeling onderwerpen om vast te stellen of aan de essentiële cyberbeveiligingseisen van bijlage I is voldaan.
Verordening (EU) 2024/2847, artikel 32, lid 1
Artikel 32 gaat over beide delen van bijlage I. Het product moet voldoen aan de cyberbeveiligingseisen voor producten in deel I. De processen van de fabrikant voor afhandeling van kwetsbaarheden moeten voldoen aan deel II.
Een positieve beoordeling ondersteunt de technische documentatie, de EU-conformiteitsverklaring en de CE-markering. De productcategorie verandert er niet door. Die categorie bepaalt welke beoordelingsroutes openstaan.
Conformiteitsroutes
Artikel 32 noemt vier routes. De juiste route hangt vooral af van de productcategorie, het gebruik van geharmoniseerde normen of gemeenschappelijke specificaties en de mogelijkheid om een toepasselijk cyberbeveiligingscertificeringsschema te gebruiken.
Module A
Interne productiecontrole. De fabrikant beoordeelt het product en verklaart onder eigen verantwoordelijkheid dat het conform is.
Module B plus module C
Een aangemelde instantie onderzoekt het type. De fabrikant controleert vervolgens de productie aan de hand van dat type.
Module H
Volledige kwaliteitsborging. Een aangemelde instantie beoordeelt het kwaliteitssysteem van de fabrikant voor de producten binnen de scope.
Cyberbeveiligingscertificering
Een toepasselijk Europees cyberbeveiligingscertificeringsschema kan worden gebruikt wanneer artikel 27 of artikel 8 die route beschikbaar maakt.
Classificatie en routekeuze
Voor standaardproducten kan interne controle worden gebruikt. Voor belangrijke en kritieke producten gelden strengere beoordelingsroutes, waaronder voor klasse I-producten waarvan de toepasselijke eisen niet volledig worden gedekt door de relevante normen, gemeenschappelijke specificaties of certificering.
Voor standaardproducten kan artikel 32, lid 1, inclusief module A, worden gebruikt. De fabrikant mag nog steeds een strengere route kiezen.
Voor klasse I-producten kan artikel 32, lid 1, alleen worden gebruikt voor eisen die worden gedekt door toegepaste geharmoniseerde normen, gemeenschappelijke specificaties of certificering met een betrouwbaarheidsniveau van ten minste substantieel. Voor de overige eisen is module B plus C of module H nodig.
Voor klasse II-producten wordt module B plus C, module H of een toepasselijk Europees cyberbeveiligingscertificeringsschema met een betrouwbaarheidsniveau van ten minste substantieel gebruikt.
Voor kritieke producten uit bijlage IV wordt certificering volgens artikel 8, lid 1, gebruikt wanneer die route wordt geactiveerd. Als niet aan de voorwaarden van artikel 8, lid 1, is voldaan, volgen zij de routes voor klasse II uit artikel 32, lid 3.
Belangrijke vrije en opensourcesoftware uit bijlage III kan de routes van artikel 32, lid 1, gebruiken als de technische documentatie van artikel 31 openbaar is wanneer het product op de markt wordt aangeboden.
Normen en certificering
Artikel 27 licht toe hoe normen, gemeenschappelijke specificaties en cyberbeveiligingscertificering conformiteit kunnen ondersteunen. Deze zijn niet hetzelfde en hebben niet allemaal hetzelfde rechtsgevolg.
- Een geharmoniseerde norm levert alleen een vermoeden van overeenstemming op voor de eisen uit bijlage I die worden gedekt door de bekendgemaakte normreferentie.
- Een gemeenschappelijke specificatie kan ook een vermoeden van overeenstemming opleveren voor de eisen die zij behandelt.
- Een Europees cyberbeveiligingscertificaat kan een vermoeden van overeenstemming opleveren voor de eisen die het dekt.
- Een certificaat dat bij een gedelegeerde handeling op grond van artikel 27, lid 9, is vastgesteld en ten minste een substantieel betrouwbaarheidsniveau heeft, kan de noodzaak van een beoordeling door derden voor de desbetreffende eisen wegnemen.
Documentatie, verklaring en CE-markering
Voordat het product op de markt wordt aangeboden, stelt de fabrikant de technische documentatie en de EU-conformiteitsverklaring op. De verklaring bevestigt dat aan de toepasselijke eisen van bijlage I is voldaan. De documentatie wordt waar nodig tijdens de ondersteuningsperiode bijgewerkt.
- De technische documentatie bevat de gegevens of details waarmee wordt aangetoond dat het product en de processen aan bijlage I voldoen.
- De EU-conformiteitsverklaring volgt de modelstructuur van bijlage V of, wanneer die route wordt gebruikt, de vereenvoudigde procedure van bijlage VI.
- De CE-markering wordt aangebracht voordat het product op de markt wordt aangeboden. Voor software kan de markering op de verklaring staan of op de website die bij het softwareproduct hoort.
- Bij gebruik van module H wordt achter de CE-markering het identificatienummer van de aangemelde instantie geplaatst.