Belangrijke en kritieke CRA-productcategorieën
Sytance · Bijgewerkt
Belangrijke en kritieke producten zijn producten met digitale elementen die binnen de scope van de CRA vallen en waarvan de kernfunctionaliteit overeenkomt met een categorie uit bijlage III of IV. Uitvoeringsverordening (EU) 2025/2392 van de Commissie bevat de technische beschrijvingen voor de interpretatie van die categorienamen.
Technische beschrijvingen van Verordening 2025/2392
Uiterlijk op 11 december 2025 stelt de Commissie een uitvoeringshandeling vast met de technische beschrijving van de categorieën producten met digitale elementen van klasse I en II uit bijlage III en de technische beschrijving van de categorieën producten met digitale elementen uit bijlage IV. De uitvoeringshandeling wordt vastgesteld volgens de onderzoeksprocedure van artikel 62, lid 2.
Verordening (EU) 2024/2847, artikel 7, lid 4
Verordening 2025/2392 is die uitvoeringshandeling. Zij vervangt bijlage III of IV niet. De verordening licht de categorienamen in technische termen toe, zodat hetzelfde product overal in de EU op dezelfde manier wordt geclassificeerd.
De technische beschrijvingen en de interpretatie ervan worden toegelicht in Technische beschrijvingen van Verordening 2025/2392.
Kernfunctionaliteit
De FAQ van de Commissie vat het eenvoudig samen: de fabrikant moet kijken naar de kernfunctionaliteit van het product. Een functie binnen het product is niet genoeg. Een product met een ander hoofddoel wordt niet als belangrijk of kritiek geclassificeerd alleen omdat het een vermelde functie bevat, integreert of kan nabootsen.
Component in een product
Een ingebouwde browser maakt van een nieuwsapp op zichzelf geen browserproduct.
Beveiligingshardware in een apparaat
Een secure element in een laptop maakt de laptop op zichzelf geen secure-elementproduct.
Vergelijkbare mogelijkheid
SOAR-software kan taken uitvoeren die lijken op SIEM-taken zonder dat SIEM de kernfunctionaliteit is.
Belangrijke producten
Bijlage III verdeelt belangrijke producten in klasse I en klasse II. Klasse II is de strengere klasse. De onderstaande lijst bevat de categorienamen; de technische beschrijvingen staan in Verordening 2025/2392.
Bijlage III vermeldt de volgende categorieën van klasse I:
- Identiteitsbeheersystemen en software en hardware voor beheer van geprivilegieerde toegang, waaronder lezers voor authenticatie en toegangscontrole, inclusief biometrische lezers
- Standalone en ingebouwde browsers
- Wachtwoordbeheerders
- Software die malware opspoort, verwijdert of in quarantaine plaatst
- Producten met digitale elementen die als functie een virtueel privénetwerk (VPN) hebben
- Netwerkbeheersystemen
- Systemen voor beveiligingsinformatie en gebeurtenisbeheer (SIEM)
- Bootmanagers
- Software voor openbare-sleutel-infrastructuur en uitgifte van digitale certificaten
- Fysieke en virtuele netwerkinterfaces
- Besturingssystemen
- Routers, modems voor internetverbindingen en switches
- Microprocessors met beveiligingsgerelateerde functies
- Microcontrollers met beveiligingsgerelateerde functies
- Application-specific integrated circuits (ASIC’s) en field-programmable gate arrays (FPGA’s) met beveiligingsgerelateerde functies
- Virtuele assistenten voor algemeen gebruik in slimme woningen
- Slimmewoningproducten met beveiligingsfuncties, waaronder slimme deursloten, beveiligingscamera’s, babyfoons en alarmsystemen
- Met internet verbonden speelgoed dat onder Richtlijn 2009/48/EG van het Europees Parlement en de Raad valt en sociale interactieve functies heeft (zoals spreken of filmen) of functies voor locatietracking
- Persoonlijke draagbare producten die op of aan het menselijk lichaam worden gedragen en bedoeld zijn voor gezondheidsmonitoring (zoals tracking), waarop Verordening (EU) 2017/745 of (EU) 2017/746 van het Europees Parlement en de Raad niet van toepassing is, of persoonlijke draagbare producten die zijn bedoeld voor gebruik door en voor kinderen
Bijlage III vermeldt de volgende categorieën van klasse II:
- Hypervisors en container-runtimesystemen die gevirtualiseerde uitvoering van besturingssystemen en vergelijkbare omgevingen ondersteunen
- Firewalls, systemen voor inbraakdetectie en -preventie
- Manipulatiebestendige microprocessors
- Manipulatiebestendige microcontrollers
Kritieke producten
Bijlage IV is korter dan bijlage III. De bijlage omvat producten waarvan de beveiligingsrol bijzonder geconcentreerd is, zoals manipulatiebestendige hardware, gateways voor slimme meters, smartcards en secure elements.
- Hardwareapparaten met beveiligingsbehuizingen
- Gateways voor slimme meters binnen slimme meetsystemen zoals gedefinieerd in artikel 2, punt 23, van Richtlijn (EU) 2019/944 van het Europees Parlement en de Raad en andere apparaten voor geavanceerde beveiliging, waaronder beveiligde cryptoprocessing
- Smartcards of vergelijkbare apparaten, waaronder secure elements
Gevolgen van de categorie
De productcategorie bepaalt welke beoordelingsroutes kunnen worden gebruikt om conformiteit met bijlage I aan te tonen. De categorie bepaalt niet of het product binnen de scope valt en vervangt de risicobeoordeling van cyberbeveiliging niet.
- Belangrijke producten van klasse I mogen interne controle alleen gebruiken voor eisen die worden gedekt door toegepaste geharmoniseerde normen, gemeenschappelijke specificaties of een toepasselijk certificeringsschema; anders is een strengere route nodig.
- Belangrijke producten van klasse II gebruiken module B plus C, module H of een toepasselijk Europees cyberbeveiligingscertificeringsschema.
- Kritieke producten volgen certificering volgens artikel 8, lid 1, wanneer die route wordt geactiveerd; anders volgen zij de routes voor klasse II van artikel 32, lid 3.
- Belangrijke vrije en opensourcesoftware uit bijlage III kan de routes van artikel 32, lid 1, gebruiken als de technische documentatie volgens artikel 31 openbaar is wanneer het product op de markt wordt aangeboden.
De details van de routes worden toegelicht in Conformiteitsbeoordeling.