Productclassificatie onder de EU-verordening cyberweerbaarheid
Sytance · Bijgewerkt
De CRA-classificatie is de categorie die wordt toegewezen aan een product met digitale elementen dat binnen de werkingssfeer valt. Een product blijft in de standaardcategorie, tenzij de kernfunctionaliteit overeenkomt met een belangrijke productcategorie in bijlage III of een kritieke productcategorie in bijlage IV.
Uitkomsten van de classificatie
Classificatie volgt op de bepaling van de werkingssfeer. Bepaal eerst of het product een product met digitale elementen is dat op de EU-markt beschikbaar wordt gesteld en niet op grond van artikel 2 is uitgesloten. Classificeer het product daarna volgens de CRA-categorie die bij de kernfunctionaliteit past.
Standaardcategorie
De restcategorie voor producten binnen de werkingssfeer waarvan de kernfunctionaliteit niet overeenkomt met een categorie in bijlage III of bijlage IV.
Belangrijk product van klasse I
Categorieën van klasse I in bijlage III zijn belangrijke producten. De CRA houdt deze apart van klasse II.
Belangrijk product van klasse II
Producten van klasse II in bijlage III zijn belangrijke producten waarvoor strengere conformiteitsbeoordelingsprocedures gelden.
Kritieke producten
Categorieën in bijlage IV zijn kritieke producten. Deze vormen een aparte lijst naast de belangrijke producten in bijlage III.
Kernfunctionaliteit
Producten met digitale elementen waarvan de kernfunctionaliteit overeenkomt met een productcategorie in bijlage III worden beschouwd als belangrijke producten met digitale elementen en zijn onderworpen aan de conformiteitsbeoordelingsprocedures van artikel 32, leden 2 en 3. De integratie van een product met digitale elementen waarvan de kernfunctionaliteit overeenkomt met een productcategorie in bijlage III brengt op zichzelf niet met zich mee dat het product waarin het is geïntegreerd onderworpen wordt aan de conformiteitsbeoordelingsprocedures van artikel 32, leden 2 en 3.
Verordening (EU) 2024/2847, artikel 7, lid 1
In de artikelen 7 en 8 wordt hetzelfde uitgangspunt gehanteerd: het product moet de kernfunctionaliteit van een vermelde categorie hebben. De beoordeling gaat over wat het product als geheel doet waarvoor het op de markt wordt gebracht. Het is niet voldoende dat het product een functie, bibliotheek, halfgeleider of module bevat die zelf mogelijk binnen een vermelde categorie valt.
Dit werkt in beide richtingen. Extra functies verhinderen niet dat een product belangrijk is als de hoofdfunctie ervan nog steeds overeenkomt met een categorie in bijlage III. Een router kan firewallfuncties bevatten en toch worden geclassificeerd op basis van de kernfunctionaliteit als router. Een product met een ander hoofddoel wordt echter niet alleen een vermeld product omdat het enkele van dezelfde taken kan uitvoeren.
Geïntegreerde componenten
Een nieuwsapp wordt geen browserproduct alleen omdat daarin een browsercomponent is opgenomen. Een laptop wordt geen secure-elementproduct alleen omdat deze een secure element bevat.
Overlappende functies
SOAR-software kan mogelijkheden hebben die vergelijkbaar zijn met SIEM, maar volgens de FAQ van de Commissie valt SOAR in het algemeen buiten de SIEM-categorie wanneer de kernfunctionaliteit ervan anders is.
Belangrijke producten in bijlage III
In bijlage III staan belangrijke producten met digitale elementen, verdeeld in klasse I en klasse II. Verordening 2025/2392 geeft voor elke vermelde categorie een technische beschrijving. De uitkomst is een categoriebesluit, geen algemene rangschikking van alle cyberbeveiligingsrisico’s.
Klasse I
Belangrijke producten waarvoor interne controle nog mogelijk kan zijn als de relevante normen, gemeenschappelijke specificaties of certificeringsroute worden toegepast.
Klasse II
Belangrijke producten waarvoor strengere conformiteitsroutes moeten worden gebruikt.
Kritieke producten in bijlage IV
In bijlage IV staan kritieke producten met digitale elementen. Deze lijst is beperkter dan bijlage III en is gericht op producten met functies van beveiligingsboxen, gateways voor slimme meters, beveiligde cryptoprocessing, smartcards of secure elements. Artikel 8 kan certificering voor deze producten relevant maken via een gedelegeerde handeling.
Referentie technische beschrijvingen
Uitvoeringsverordening (EU) 2025/2392 van de Commissie bevat technische beschrijvingen voor de categorieën in bijlage III en IV; de gedetailleerde leesregels en volledige beschrijvingen worden toegelicht in Technische beschrijvingen van Verordening 2025/2392.
Classificatie en conformiteit
Classificatie bewijst niet dat aan bijlage I is voldaan. Zij geeft de fabrikant aan welke route van artikel 32 beschikbaar of verplicht kan zijn. De routes zelf worden toegelicht in Conformiteitsbeoordeling.
Classificatie en risicobeoordeling
De FAQ van de Commissie maakt onderscheid tussen classificatie en de cyberbeveiligingsrisicobeoordeling van de fabrikant. De vereisten van bijlage I moeten risicogestuurd worden toegepast op producten in de standaardcategorie, belangrijke producten en kritieke producten.
Twee producten kunnen dezelfde classificatie hebben en toch verschillende beveiligingsmaatregelen vereisen omdat het beoogde gebruik, het voorzienbare gebruik en de gebruiksomstandigheden verschillen. De classificatie bepaalt de conformiteitsroute; de risicobeoordeling legt uit hoe het product en de processen van de fabrikant voldoen aan de CRA-vereisten voor dat product.