EU-CRA: principes voor cyberweerbaarheid in prEN 40000-1-2

Status van het ontwerp

De hier besproken tekst is in oktober 2025 ter openbare raadpleging voorgelegd. Dit is een toelichting bij een specifieke versie van het ontwerp, geen mededeling dat de raadpleging nog loopt of dat dit de meest recente tekst is. Vereisten kunnen in latere versies veranderen. Het ontwerp zelf leidt niet tot een vermoeden van overeenstemming met de CRA.

In verzoek M/606, punt 1, wordt gevraagd om een Europese norm voor het ontwerpen, ontwikkelen en produceren van producten met digitale elementen, zodat deze op basis van de risico’s een passend cyberbeveiligingsniveau waarborgen. De deadline in M/606 voor dit punt is 30 augustus 2026.

Relatie met bijlage I

Producten met digitale elementen moeten zodanig worden ontworpen, ontwikkeld en geproduceerd dat zij op basis van de risico’s een passend cyberbeveiligingsniveau waarborgen.

Verordening (EU) 2024/2847, bijlage I, deel I, punt 1

prEN 40000-1-2 sluit het nauwst aan op deze algemene eis van deel I. Het is een proces- en levenscyclusnorm. De norm vervangt de specifiekere productbeveiligingseisen in bijlage I, deel I, punten 2(a) tot en met 2(m), niet en is evenmin de norm voor de afhandeling van kwetsbaarheden.

Beginselen van cyberbeveiliging

Clausule 5 van het ontwerp van oktober 2025 beschrijft vier beginselen voor productplanning, ontwerp, implementatie, productie en onderhoud: een risicogestuurde aanpak, security by design, veilige standaardinstellingen en transparantie.

Structuur van risicobeheer

Het ontwerp behandelt risicobeheer als een terugkerende productactiviteit, niet als een eenmalig formulier. Eerst wordt de productcontext bepaald, omdat dezelfde software of hardware in verschillende gebruikssituaties verschillende risico’s kan opleveren.

Levenscyclusactiviteiten

Het ontwerp vertaalt de beginselen vervolgens naar activiteiten gedurende de levenscyclus. Deze activiteiten passen binnen verschillende ontwikkelmodellen; het belangrijkste is dat het beveiligingswerk wordt gepland, uitgevoerd, gecontroleerd en actueel gehouden.

• cyberbeveiligingsplanning voor het product;
• cyberbeveiligingsvereisten voor het product;
• cyberbeveiligingsarchitectuur en -ontwerp;
• veilige implementatie;
• verificatie en validatie van cyberbeveiliging;
• veilige productie en distributie;
• beheer van cyberbeveiligingsproblemen;
• productmonitoring;
• planning voor veilige buitengebruikstelling;
• beheer van cyberbeveiliging van componenten van derden.

Afbakening ten opzichte van andere normen

prEN 40000-1-2 is de norm voor beginselen en levenscyclusrisicobeheer. De afhandeling van kwetsbaarheden valt onder prEN 40000-1-3 Afhandeling van kwetsbaarheden. Productspecifieke normen kunnen categoriegebonden vereisten toevoegen voor browsers, routers, firewalls, secure elements en andere belangrijke of kritieke producten.

Het CRA-normenprogramma wordt toegelicht in Normen en geharmoniseerde normen.