Risicobeoordeling van cyberbeveiliging onder de CRA

Rol van de risicobeoordeling

Om aan lid 1 te voldoen, voeren fabrikanten een beoordeling uit van de cyberbeveiligingsrisico’s van een product met digitale elementen. Zij houden rekening met de uitkomst tijdens de planning, het ontwerp, de ontwikkeling, de productie, de levering en het onderhoud van het product, met als doel cyberbeveiligingsrisico’s te beperken, incidenten te voorkomen en de gevolgen daarvan, ook voor de gezondheid en veiligheid van gebruikers, te beperken.

Verordening (EU) 2024/2847, artikel 13, lid 2

Artikel 13 vereist dat de risicobeoordeling de levenscyclus van het product volgt en waar nodig tijdens de ondersteuningsperiode wordt bijgewerkt.

Wat de beoordeling toelicht

Volgens artikel 13, lid 3, moet de beoordeling rekening houden met het beoogde doel, redelijkerwijs voorzienbaar gebruik, gebruiksomstandigheden, de operationele omgeving, te beschermen assets en de verwachte gebruiksduur.

• welke eisen uit bijlage I, deel I, op het product van toepassing zijn;
• hoe aan die producteisen uitvoering wordt gegeven;
• hoe de algemene risicogebaseerde cyberbeveiligingseis van bijlage I, deel I, punt 1, wordt toegepast;
• hoe de eisen voor afhandeling van kwetsbaarheden uit bijlage I, deel II, worden toegepast;
• waarom een eis niet van toepassing is, wanneer de fabrikant dat concludeert.

Voorbeeld: een firmware-updatepad beoordelen

Neem een fictieve verbonden controller die firmware ontvangt van een updateservice. Een aanvaller kan proberen het image vóór installatie te vervangen. De beoordeling moet vaststellen of dit mogelijk is en wat de gewijzigde firmware zou kunnen doen.

1. Breng het updatepad voor het controllermodel en de firmwareversie in kaart. Stel vast wie een image kan leveren, hoe het de apparatuur bereikt en welke controles vóór installatie plaatsvinden.
2. Beschrijf de dreiging: een aanvaller vervangt een firmware-image vóór installatie. De asset is de integriteit van uitvoerbare code; de gevolgen hangen af van de functies die de controller kan wijzigen.
3. Beoordeel de bestaande maatregelen: bepaal waar het image wordt geverifieerd, welke ondertekeningssleutels worden vertrouwd en wat er gebeurt wanneer verificatie mislukt. Een ontwerpverklaring bewijst op zichzelf niet hoe de uitgebrachte versie zich gedraagt.
4. Koppel maatregelen aan verificatie: bewaar het goedgekeurde updateontwerp en tests voor gewijzigde images, onjuiste handtekeningen en herstel na fouten. Leg de geteste firmware en configuratie vast.
5. Licht het resterende risico toe aan de hand van de aanvalsvoorwaarden en verwachte gevolgen. Benoem aannames die nog moeten worden bevestigd en eventuele aanvullende maatregelen. Beoordeel de conclusie opnieuw wanneer het updatemechanisme of de dreiging verandert.

Een gegevensstroomdiagram (DFD) en STRIDE kunnen helpen om aanvalspaden voor deze analyse te identificeren. Voor de risicobeslissing zijn nog steeds productfeiten en verificatieresultaten nodig. Het team moet bijvoorbeeld de handtekeningcontrole toetsen aan het ontwerp en de geteste firmware voordat het daarop vertrouwt om risico te verlagen.

Koppeling met technische documentatie

Artikel 13, lid 4, vereist dat de risicobeoordeling van cyberbeveiliging in de technische documentatie wordt opgenomen. Bijlage VII vereist daarnaast een beoordeling van de cyberbeveiligingsrisico’s waartegen het product is ontworpen, ontwikkeld, geproduceerd, geleverd en onderhouden.

Ondersteuning door normen

De ontwerpversie prEN 40000-1-2 pagina licht het huidige horizontale document over principes voor risicobeheer van cyberweerbaarheid toe. Het kan helpen het werk te structureren, maar de wettelijke verplichting volgt nog steeds uit artikel 13 en bijlage I.