Technische beschrijvingen van CRA-productcategorieën onder Verordening 2025/2392
Sytance · Bijgewerkt
Verordening 2025/2392 licht de technische betekenis toe van de namen van belangrijke en kritieke productcategorieën. De verordening vervangt bijlage III of IV niet. Zij helpt vaststellen of de kernfunctionaliteit van een product overeenkomt met een van die categorieën.
Technische beschrijvingen
1. De technische beschrijving van de categorieën producten met digitale elementen van klasse I en II in bijlage III bij Verordening (EU) 2024/2847 is opgenomen in bijlage I bij deze verordening. 2. De technische beschrijving van de categorieën producten met digitale elementen in bijlage IV bij Verordening (EU) 2024/2847 is opgenomen in bijlage II bij deze verordening.
Uitvoeringsverordening (EU) 2025/2392 van de Commissie, artikel 2
Deze verordening is een uitvoeringshandeling krachtens artikel 7, lid 4, van de CRA. Zij licht de technische betekenis van elke categorie toe. De verordening voegt geen nieuwe productklasse toe en bepaalt op zichzelf niet de conformiteitsbeoordelingsprocedure.
Kernfunctionaliteit
Overeenkomstig artikel 7, lid 1, en artikel 8, lid 1, van Verordening (EU) 2024/2847 bepaalt de kernfunctionaliteit van een product met digitale elementen of dat product voldoet aan de technische beschrijving van een categorie belangrijke of kritieke producten met digitale elementen en daarmee welke toepasselijke conformiteitsbeoordelingsprocedures gelden.
Uitvoeringsverordening (EU) 2025/2392 van de Commissie, overweging 2
Kernfunctionaliteit is de hoofdfunctie van het product zoals het in de handel wordt gebracht. Een product kan functies uit een andere categorie bevatten zonder zelf tot die categorie te behoren. Omgekeerd valt een product niet buiten een categorie doordat het extra functies heeft, als de hoofdfunctie nog steeds overeenkomt met de beschrijving.
Ingebedde browser
Een nieuwsapp is niet alleen een browserproduct omdat er een ingebedde browser in is geïntegreerd.
Router met firewallfuncties
Een router kan nog steeds de kernfunctionaliteit van een router hebben, ook wanneer deze ook firewallfuncties omvat.
Smartphone met meerdere functies
Een smartphone wordt doorgaans niet als besturingssysteem of wachtwoordbeheerder ingedeeld alleen omdat deze die functies bevat.
Technische beschrijvingen voor belangrijke producten van klasse I
Bijlage I bij Verordening 2025/2392 bevat de technische beschrijvingen voor de klasse-I-categorieën uit bijlage III bij de CRA.
Identiteitsbeheersystemen zijn producten met digitale elementen die mechanismen voor authenticatie of autorisatie bieden en ook mechanismen kunnen bieden voor het levenscyclusbeheer van identiteitsgegevens van natuurlijke personen, rechtspersonen, apparaten of systemen, zoals registratie, verstrekking, onderhoud en beëindiging van identiteiten. Deze systemen omvatten toegangsbeheersystemen die de toegang van natuurlijke personen, rechtspersonen, apparaten of systemen tot digitale resources of fysieke locaties controleren.
Software voor privileged-accessbeheer is een toegangsbeheersysteem dat toegangsrechten tot IT- of OT-systemen en gevoelige informatie binnen een organisatie beheert en bewaakt, waaronder systemen die gedifferentieerd toegangsbeleid voor gebruikers met verhoogde bevoegdheden afdwingen.
Deze categorie omvat onder meer authenticatie- en toegangscontrolelezers, biometrische lezers, single-sign-onsoftware, software voor gefedereerd identiteitsbeheer en eenmalige wachtwoorden, hardwarematige authenticatieapparaten zoals generators van transactie-authenticatienummers (TAN), authenticatiesoftware en multifactorauthenticatiesoftware.
Softwareproducten met digitale elementen waarmee eindgebruikers toegang krijgen tot webinhoud en -services die worden gehost op servers die zijn verbonden met netwerken zoals internet, en waarmee zij die inhoud en services kunnen weergeven en ermee kunnen werken. Deze producten omvatten doorgaans een browserengine voor het interpreteren en weergeven van inhoud in opmaaktalen (bijvoorbeeld HTML), ondersteuning voor webprotocollen (bijvoorbeeld HTTP en HTTPS), de mogelijkheid om scripts uit te voeren en invoer van gebruikers te verwerken, en opslag van tijdelijke of permanente gegevens van websites (cookies).
Deze categorie omvat onder meer standalone-applicaties met browserfuncties, ingebedde browsers die in een ander systeem of een andere applicatie worden geïntegreerd en browsers met integratie van AI-agents.
Producten met digitale elementen die wachtwoorden lokaal op een apparaat of op een externe server opslaan en ook wachtwoorden kunnen genereren en delen of kunnen integreren met lokale applicaties of applicaties van derden om wachtwoorden te gebruiken.
Deze categorie omvat onder meer lokale wachtwoordbeheerders, wachtwoordbeheerders als browserextensie, zakelijke wachtwoordbeheerders en hardwarematige wachtwoordbeheerders.
Softwareproducten met digitale elementen, doorgaans antivirus- of antimalwaresoftware genoemd, die schadelijke software of code op apparaten detecteren of opsporen, of deze software of code verwijderen of in quarantaine plaatsen om de integriteit, vertrouwelijkheid of beschikbaarheid van die apparaten te behouden.
In het kader van deze productcategorie is schadelijke software software met schadelijke functies of mogelijkheden die direct of indirect schade kunnen veroorzaken voor de gebruiker en/of het computersysteem, zoals virussen, wormen, ransomware, spyware en trojans.
Deze categorie omvat onder meer software die schadelijke software in realtime of handmatig detecteert of opspoort, rootkitdetectie en reddingsschijven waarvan de kernfunctionaliteit bestaat uit het opsporen, verwijderen of in quarantaine plaatsen van schadelijke software.
Producten met digitale elementen die een versleutelde logische tunnel tot stand brengen die is opgebouwd uit systeemresources van een fysiek of virtueel netwerk.
Deze categorie omvat onder meer VPN-clients, VPN-servers en VPN-gateways.
Producten met digitale elementen die verbonden netwerkelementen beheren, zoals servers, routers, switches, werkstations, printers of mobiele apparaten, door deze te bewaken en hun netwerkactiviteiten en configuratie te controleren.
Deze categorie omvat onder meer end-to-endbeheersystemen en specifieke configuratiebeheersystemen, zoals controllers voor softwaregedefinieerde netwerken.
Producten met digitale elementen die gegevens uit meerdere bronnen verzamelen, analyseren en correleren en deze presenteren als bruikbare informatie voor beveiligingsdoeleinden, zoals het opsporen van dreigingen en incidenten, forensische analyse of naleving.
Softwareproducten met digitale elementen die het aanvankelijke opstartproces van een systeem na inschakeling of herstart beheren door hardware te initialiseren, de besturingssysteemomgeving of systeemresources te laden of de besturing daaraan over te dragen, en opstartopties te selecteren.
Deze categorie omvat onder meer UEFI-firmware en bootloaders in één of meerdere fasen.
Producten met digitale elementen die als onderdeel van een openbare-sleutelinfrastructuur (PKI) worden gebruikt om digitale certificaten te valideren, aan te maken, uit te geven, te verspreiden, de status ervan te publiceren, te vernieuwen of in te trekken, of om cryptografische sleutels bij die certificaten te genereren, op te slaan, in escrow te plaatsen, uit te wisselen, te vernietigen of te vervangen.
Deze categorie omvat onder meer sleutelbeheersystemen, systemen voor het beheer van digitale certificaten, OCSP-responders (Online Certificate Status Protocol) en alles-in-één-PKI-oplossingen.
Fysieke netwerkinterfaces zijn producten met digitale elementen die een apparaat rechtstreeks met een netwerk verbinden via een applicatieprogrammeerinterface (API) die door de interfacestuurprogramma's wordt geleverd. Zij werken doorgaans op de datalinklaag en bevatten hardwareadapters voor transmissiemedia met bijbehorende firmware, die doorgaans op de fysieke laag en datalinklaag werken.
Virtuele netwerkinterfaces zijn producten met digitale elementen die een apparaat rechtstreeks of indirect met een netwerk verbinden via een API die de API van stuurprogramma's voor fysieke netwerkinterfaces nabootst en doorgaans op de datalinklaag werkt.
Deze categorie omvat onder meer bedrade en draadloze netwerkkaarten, controllers en adapters, bijvoorbeeld voor Wi-Fi, Ethernet, IrDA, USB, Bluetooth, NearLink of Fieldbus, en uitsluitend virtuele standaloneproducten, zoals virtuele netwerkkaarten, containernetwerkinterfaces en VPN-interfaces.
Softwareproducten met digitale elementen die een abstracte interface van de onderliggende hardware bieden en de uitvoering van software beheren. Zij kunnen ook services bieden zoals beheer en configuratie van computerresources, planning, invoer-uitvoercontrole en gegevensbeheer, en een interface waarmee applicaties met systeemresources en randapparatuur kunnen communiceren.
Deze categorie omvat onder meer realtimebesturingssystemen en besturingssystemen voor algemene of specifieke doeleinden.
Routers zijn producten met digitale elementen die de gegevensstroom tussen verschillende netwerken tot stand brengen en beheren door paden te kiezen met behulp van routeringsprotocolmechanismen en -algoritmen. Zij werken doorgaans op de netwerklaag.
Deze categorie omvat onder meer bedrade en draadloze routers, virtuele routers en routers met of zonder modem.
Modems voor verbinding met internet zijn hardwareproducten met digitale elementen die digitale modulatie- en demodulatietechnieken gebruiken om analoge signalen om te zetten naar digitale signalen en omgekeerd, voor communicatie op basis van IP.
Deze categorie omvat onder meer glasvezelmodems, Digital Subscriber Line-modems (DSL), kabelmodems (DOCSIS), satellietmodems en mobiele modems.
Switches zijn producten met digitale elementen die verbinding tussen netwerkapparaten bieden via mechanismen voor pakketdoorsturing en beschikken over een beheerlaag die doorgaans op de datalink- of netwerklaag wordt geïmplementeerd.
Deze categorie omvat onder meer beheerde switches, smart switches, multilayer-switches, virtuele beveiligingsswitches, programmeerbare switches voor softwaregedefinieerde netwerken en bridges zoals draadloze toegangspunten.
Producten met digitale elementen die geïntegreerde schakelingen zijn die centrale verwerking uitvoeren en daarbij afhankelijk zijn van extern geheugen en externe randapparatuur, met inbegrip van microcode en andere firmware op laag niveau. Daarnaast bieden zij beveiligingsfuncties, zoals versleuteling, authenticatie, veilige opslag van sleutels, het genereren van willekeurige getallen, een trusted execution environment of andere hardwarematige beschermingsmechanismen die andere producten, netwerken of services beveiligen buiten de microprocessor zelf, bijvoorbeeld een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces.
Producten met digitale elementen die geïntegreerde schakelingen zijn die centrale verwerking uitvoeren en geheugen integreren waardoor de microcontroller programmeerbaar is, doorgaans ook met andere randapparatuur, met inbegrip van microcode en andere firmware op laag niveau. Daarnaast bieden zij beveiligingsfuncties, zoals versleuteling, authenticatie, veilige opslag van sleutels, het genereren van willekeurige getallen, een trusted execution environment of andere hardwarematige beschermingsmechanismen die andere producten, netwerken of services beveiligen buiten de microcontroller zelf, bijvoorbeeld een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces.
Toepassingsspecifieke geïntegreerde schakelingen (ASIC's) met beveiligingsfuncties zijn producten met digitale elementen die bestaan uit geïntegreerde schakelingen die geheel of gedeeltelijk op maat zijn ontworpen om een specifieke functie uit te voeren of een specifieke toepassing te implementeren, met inbegrip van microcode en andere firmware op laag niveau. Daarnaast bieden zij beveiligingsfuncties, zoals versleuteling, authenticatie, veilige opslag van sleutels, het genereren van willekeurige getallen, een trusted execution environment of andere hardwarematige beschermingsmechanismen die andere producten, netwerken of services beveiligen buiten de ASIC zelf, bijvoorbeeld een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces.
In het veld programmeerbare poortarrays (FPGA's) met beveiligingsfuncties zijn producten met digitale elementen die bestaan uit geïntegreerde schakelingen met een matrix van configureerbare logische blokken die na de productie opnieuw kunnen worden geprogrammeerd om een specifieke functie uit te voeren of een specifieke toepassing te implementeren, met inbegrip van microcode en andere firmware op laag niveau. Daarnaast bieden zij beveiligingsfuncties, zoals versleuteling, authenticatie, veilige opslag van sleutels, het genereren van willekeurige getallen, een trusted execution environment of andere hardwarematige beschermingsmechanismen die andere producten, netwerken of services beveiligen buiten de FPGA zelf, bijvoorbeeld een beveiligde opstartketen, virtualisatie of beveiligde communicatie-interfaces.
Producten met digitale elementen die rechtstreeks of via andere apparatuur communiceren via het openbare internet, verzoeken, taken of vragen verwerken op basis van opdrachten in natuurlijke taal, bijvoorbeeld via audio- of tekstopdrachten, en op basis daarvan toegang bieden tot andere services of functies van verbonden apparaten in woonomgevingen bedienen.
Deze categorie omvat onder meer slimme luidsprekers met een geïntegreerde virtuele assistent en standalone virtuele assistenten die aan deze beschrijving voldoen.
Producten met digitale elementen die de fysieke beveiliging van consumenten in een woonomgeving beschermen en op afstand door andere systemen kunnen worden bediend of beheerd, evenals hardware en software waarmee dergelijke producten centraal worden bediend.
Deze categorie omvat onder meer slimme deursloten, babybewakingssystemen, alarmsystemen en beveiligingscamera's voor woningen.
Met internet verbonden speelgoed met sociale interactieve functies is een product met digitale elementen dat onder Richtlijn 2009/48/EG valt, communiceert via het openbare internet, rechtstreeks of via andere apparatuur, en ingebouwde technologie bevat voor inkomende en uitgaande communicatie, zoals een toetsenbord, microfoon, luidspreker of camera.
Met internet verbonden speelgoed met functies voor locatietracking is een product met digitale elementen dat onder Richtlijn 2009/48/EG valt, via het openbare internet communiceert, rechtstreeks of via andere apparatuur, en technologie bevat waarmee de geografische locatie van het speelgoed of de gebruiker kan worden gevolgd of afgeleid. Als het speelgoed met sensortechnologie alleen de nabijheid van de gebruiker of ander speelgoed detecteert, wordt het niet beschouwd als speelgoed met functies voor locatietracking.
Persoonlijke wearables met een gezondheidsmonitoringsdoel die op het menselijk lichaam worden gedragen of geplaatst, zijn producten met digitale elementen die rechtstreeks op het lichaam of via kleding of accessoires worden gedragen en regelmatig of doorlopend gezondheidsinformatie van de gebruiker, waaronder lichaamswaarden, kunnen meten en verder verwerken. Producten die onder Verordening (EU) 2017/745 of Verordening (EU) 2017/746 vallen, zijn uitgesloten.
Deze categorie omvat onder meer fitnesstrackers, smartwatches, slimme sieraden, slimme kleding en sportkleding die aan deze beschrijving voldoen.
Persoonlijke wearables die bedoeld zijn voor gebruik door en voor kinderen zijn producten met digitale elementen die rechtstreeks of via kleding of accessoires op het lichaam kunnen worden gedragen of geplaatst door personen jonger dan 14 jaar.
Deze categorie omvat onder meer wearables voor de veiligheid van kinderen.
Technische beschrijvingen voor belangrijke producten van klasse II
Klasse II blijft een belangrijke productcategorie, maar de conformiteitsbeoordelingseisen zijn strenger dan voor klasse I.
Hypervisors zijn softwareproducten met digitale elementen die computerresources abstraheren en/of toewijzen en de uitvoering, het beheer en de orkestratie mogelijk maken van virtuele machines die logisch van elkaar en/of van de fysieke hardware zijn gescheiden. Hypervisors kunnen rechtstreeks op hardware (bare metal), boven op een besturingssysteem of binnen een andere virtuele machine (geneste virtualisatie) worden uitgevoerd.
In deze productcategorie is een virtuele machine een door software gedefinieerde logische scheiding van een computeromgeving, met een gevirtualiseerde set hardwareresources (bijvoorbeeld CPU, geheugen, opslag en netwerkinterfaces) die doorgaans een eigen besturingssysteem bevat.
Deze categorie omvat onder meer type 1-hypervisors (bare metal), type 2-hypervisors (gehost op een besturingssysteem) en hybride hypervisors.
Container-runtimesystemen zijn softwareproducten met digitale elementen die de uitvoering en levenscyclus beheren van containers die als geïsoleerde processen op één hostbesturingssysteem draaien, resources toewijzen en het beheer en de orkestratie van afzonderlijke containers mogelijk maken.
In deze productcategorie is een container een softwarematige uitvoeringsomgeving die een of meer softwarecomponenten en hun afhankelijkheden in één pakket kapselt, zodat deze onafhankelijk en consistent kunnen worden uitgevoerd.
Firewalls zijn producten met digitale elementen die een verbonden netwerk of systeem beschermen tegen onbevoegde toegang door gegevensverkeer van en naar dat netwerk te bewaken en te beperken.
Deze categorie omvat onder meer netwerkfirewalls en applicatiefirewalls, zoals webapplicatiefirewalls of filters, en antispamgateways.
Systemen voor inbraakdetectie zijn producten met digitale elementen die verkeer bewaken nadat het de netwerkomgeving is binnengekomen, verdachte activiteiten opsporen en detecteren of vaststellen of een inbraak op een verbonden netwerk of systeem is geprobeerd, plaatsvindt of heeft plaatsgevonden.
Deze categorie omvat onder meer netwerkgebaseerde en hostgebaseerde systemen voor inbraakdetectie.
Systemen voor inbraakpreventie zijn producten met digitale elementen die bestaan uit een systeem voor inbraakdetectie dat actief reageert op een inbraak in een verbonden netwerk of systeem.
Deze categorie omvat onder meer netwerkgebaseerde en hostgebaseerde systemen voor inbraakpreventie.
Producten met digitale elementen die microprocessors zijn met de beveiligingsfuncties uit punt 13 van de tabel 'Klasse I' van deze bijlage, waaronder detectie van manipulatie, weerstand daartegen of reactie daarop, en die bovendien zijn ontworpen voor bescherming op niveau AVA_VAN 2 of 3 volgens de Common Criteria en de Common Evaluation Methodology.
Producten met digitale elementen die microcontrollers zijn met de beveiligingsfuncties uit punt 14 van de tabel 'Klasse I' van deze bijlage, waaronder detectie van manipulatie, weerstand daartegen of reactie daarop, en die bovendien zijn ontworpen voor bescherming op niveau AVA_VAN 2 of 3 volgens de Common Criteria en de Common Evaluation Methodology.
Technische beschrijvingen van kritieke producten
Bijlage II bij Verordening 2025/2392 bevat de technische beschrijvingen van de categorieën kritieke producten in bijlage IV bij de CRA.
Hardwareproducten met digitale elementen die gevoelige gegevens veilig opslaan, verwerken of beheren, of cryptografische handelingen uitvoeren, en die uit meerdere afzonderlijke onderdelen bestaan. Zij hebben een fysieke hardwarebehuizing die als tegenmaatregel tegen fysieke aanvallen manipulatie kan aantonen, weerstaan of beantwoorden.
Deze categorie omvat onder meer fysieke betaalterminals, hardwarematige beveiligingsmodules die cryptografische elementen genereren en beheren, en tachografen die aan bovenstaande beschrijving voldoen.
Slimme-meter-gateways zijn producten met digitale elementen die de communicatie beheren tussen componenten in of verbonden met slimme-meetsystemen als bedoeld in artikel 2, punt 23, van Richtlijn (EU) 2019/944, en bevoegde derden, zoals nutsbedrijven. Zij verzamelen, verwerken en bewaren meter- of persoonsgegevens, beschermen gegevens- en informatiestromen door specifieke cryptografische behoeften te ondersteunen, zoals versleuteling en ontsleuteling, bevatten firewallfuncties en maken het mogelijk andere apparaten te bedienen.
Deze categorie omvat onder meer slimme-meter-gateways voor slimme-meetsystemen die elektriciteitsverbruik meten, als bedoeld in artikel 2, punt 23, van Richtlijn (EU) 2019/944. Zij kan ook gateways omvatten die worden gebruikt in andere slimme-meetsystemen voor het meten van het verbruik van andere energiebronnen, zoals gas of warmte, als de gateway aan deze beschrijving voldoet.
Secure elements zijn microcontrollers of microprocessors met beveiligingsfuncties, waaronder detectie van manipulatie, weerstand daartegen of reactie daarop. Zij slaan doorgaans cryptografische handelingen of gevoelige gegevens, zoals identiteits- of betaalgegevens, op, verwerken of beheren deze. Secure elements zijn ontworpen voor bescherming van ten minste niveau AVA_VAN.4 volgens de Common Criteria of de Common Evaluation Methodology. Zij kunnen afzonderlijke siliciumchips zijn of in systemen op een chip (SoC) zijn geïntegreerd. Secure elements kunnen een applicatieomgeving of besturingssysteem bevatten en een of meer applicaties omvatten.
Deze categorie omvat onder meer Trusted Platform Modules (TPM's) en ingebedde Universal Integrated Circuit Cards (UICC's).
Smartcards of vergelijkbare apparaten zijn secure elements die in een dragermateriaal, zoals kunststof of hout, in de vorm van een kaart zijn geïntegreerd, of secure elements die in dragermateriaal met een andere vorm zijn geïntegreerd.
Deze categorie omvat onder meer identiteits- en reisdocumenten, kaarten voor gekwalificeerde elektronische handtekeningen, vervangbare UICC's, fysieke betaalkaarten, fysieke toegangskaarten, digitale tachograafkaarten en polsbandjes met geïntegreerde veilige betaalcomponenten.
Voorbeelden van afbakening
De voorbeelden in de overwegingen wijzen allemaal op dezelfde regel: de indeling volgt de kernfunctionaliteit van het product, niet elk onderdeel of elke mogelijkheid die het product bevat.
Geïntegreerde component
Een component kan van belang zijn voor de beveiliging, maar deelt het product waarin deze is opgenomen niet automatisch in.
Vergelijkbare capaciteit
Een product dat sommige SIEM-achtige taken kan uitvoeren, is geen SIEM als de kernfunctionaliteit ervan anders is.
Extra functie
Een product verliest zijn categorie niet alleen omdat het aanvullende functies buiten de beschrijving uitvoert.
Gevolgen voor de indeling
De technische beschrijving beïnvloedt de indeling. De indeling bepaalt vervolgens de conformiteitsbeoordelingsroute. De details van die route staan bij Conformiteitsbeoordeling.
De productindeling als geheel wordt uitgelegd in Productclassificatie.