Gap-analyse onder de CRA

Juridische basis voor de vergelijking

Gebruik de toepasselijke CRA-eisen voor het product als vergelijkingsbasis. De artikelen 6 en 13 bepalen de verplichtingen voor het product en de risicobeoordeling; de bijlagen specificeren de beveiligingseisen en te verstrekken informatie. Neem ook normen of technische specificaties mee waarop de beoordeling steunt.

• Artikel 6 en bijlage I bepalen de eisen voor het product en de afhandeling van kwetsbaarheden.
• Artikel 13 vereist een risicobeoordeling van cyberbeveiliging en een onderbouwing van de ondersteuningsperiode.
• Bijlage II bevat gebruikersinformatie en instructies.
• Bijlage VII bevat de inhoud van de technische documentatie.
• Artikel 32 bepaalt na classificatie de route voor conformiteitsbeoordeling.
• Geharmoniseerde normen of andere technische specificaties kunnen helpen aantonen hoe aan eisen wordt voldaan, maar het rechtsgevolg hangt af van hun status.

Wat een gap betekent

Een gap kan betrekking hebben op het product, het proces van de fabrikant of het bewijs voor een conclusie. Een updatemechanisme kan bijvoorbeeld handtekeningverificatie missen, of het mechanisme kan bestaan zonder testresultaat dat aantoont dat een gewijzigd pakket wordt geweigerd. Deze bevindingen vereisen verschillende acties.

Voorbeeld: een tekortkoming in veilige updates verhelpen

Een fictieve controller heeft al ondertekende firmware-updates, maar het team heeft niet getest of het apparaat een image weigert dat met een niet-vertrouwde sleutel is ondertekend. Aanvankelijk ontbreekt bewijs. Als een test laat zien dat het apparaat het image accepteert, is er ook een uitvoeringsgap.

1. Basis: koppel de toepasselijke eis uit bijlage I, de risicobeoordeling en het ontwerp voor veilige updates. Vermeld de exacte productversie en configuratie.
2. Bevinding: beschrijf de ontbrekende test of het waargenomen gedrag. Houd een niet-geteste aanname gescheiden van een aangetoonde tekortkoming.
3. Actie: wijs het firmwareteam wijzigingen toe en laat het verificatieteam de getroffen updatepaden testen. Stel een einddatum vast die past bij het besluit over de productrelease.
4. Bewijs voor afsluiting: voeg het herziene ontwerp of de wijzigingsreferentie, testresultaten voor de betreffende build en de bijgewerkte risicobeoordeling toe. Licht toe waarom een bestaand testresultaat geldig blijft, als dat het geval is.
5. Beoordeling: de verantwoordelijke beoordelaar toetst de oorspronkelijke gap aan het nieuwe bewijs. Alleen een voltooide taak of geüpload rapport bewijst niet dat de gap is opgelost.

Benoem voor elke gap de eis en leg uit wat ontbreekt. Wijs het werk toe en bepaal welk resultaat een beoordelaar moet accepteren om de correctie goed te keuren. Leg die beoordeling samen met het ondersteunende bewijs vast.

Een voltooiingspercentage meet de items op die checklist. Het geeft niet de ernst van de resterende gaps aan en bewijst geen conformiteit. Een onopgelost probleem met update-authenticatie kan zwaarder wegen dan meerdere afgeronde documentatietaken.

Invoer voor de gap-analyse

Een gap-analyse vereist een afgebakende productscope en een onderbouwde classificatie en conformiteitsbeoordelingsroute. Anders kan de analyse het product vergelijken met eisen die niet gelden of toepasselijke eisen missen.

De risicobeoordeling is de belangrijkste invoer om te bepalen welke producteisen van bijlage I gelden. De technische documentatie bevat het resultaat en het bewijs. Zie Risicobeoordeling van cyberbeveiliging en Technische documentatie.