CRA: geharmoniseerde normen en vermoeden van overeenstemming
Sytance · Bijgewerkt
Conformiteit met geharmoniseerde normen kan voor de vereisten die zij bestrijken leiden tot een vermoeden van overeenstemming met de CRA, maar alleen wanneer de referenties ervan in het Publicatieblad zijn bekendgemaakt. Ontwerpnormen, werkitems, planningsdocumenten van M/606 en raadplegingsteksten kunnen technisch werk ondersteunen, maar leiden op zichzelf niet tot een wettelijk vermoeden.
Vermoeden van overeenstemming
Producten met digitale elementen en processen die door de fabrikant zijn ingesteld en die voldoen aan geharmoniseerde normen of delen daarvan waarvan de referenties in het Publicatieblad van de Europese Unie zijn bekendgemaakt, worden geacht te voldoen aan de essentiële cyberbeveiligingsvereisten van bijlage I die door die normen of delen daarvan worden bestreken.
Verordening (EU) 2024/2847, artikel 27, lid 1
De laatste woorden zijn van belang. Een norm bestrijkt niet automatisch de hele verordening. De norm bestrijkt de vereisten van bijlage I die in de gepubliceerde referentie worden genoemd, en alleen voor producten en processen binnen het toepassingsgebied ervan.
Geharmoniseerde norm
Vrijwillige technische route. Deze leidt pas tot een vermoeden nadat de referentie ervan in het Publicatieblad is bekendgemaakt.
Gemeenschappelijke specificatie
Terugvalroute van de Commissie wanneer aan de voorwaarden van artikel 27, lid 2, is voldaan en de specificatie de eis bestrijkt.
Certificeringsregeling
Een Europees cyberbeveiligingscertificaat kan conformiteit ondersteunen voor de vereisten die door de regeling worden bestreken.
Werkprogramma M/606
M/606 is het verzoek van de Commissie aan CEN, CENELEC en ETSI. De normalisatiepagina van de Commissie beschrijft 41 aangevraagde normen, verdeeld in horizontale normen en verticale, productspecifieke normen. CEN, CENELEC en ETSI hebben het verzoek op 3 april 2025 aanvaard.
De punten 1 en 15 van M/606 betreffen de eerste horizontale norm met beginselen en de horizontale norm voor de afhandeling van kwetsbaarheden.
De punten 16 tot en met 41 van M/606 bestrijken belangrijke en kritieke productcategorieën zoals browsers, VPN-producten, besturingssystemen, routers, firewalls, halfgeleiders, smart-homeproducten, wearables en secure elements.
De punten 2 tot en met 14 van M/606 betreffen aanvullende horizontale normen voor productbeveiligingseigenschappen zoals veilige standaardinstellingen, updates, toegangscontrole, vertrouwelijkheid, integriteit, beschikbaarheid, verkleining van het aanvalsoppervlak, monitoring en gegevensverwijdering.
Horizontale normen
Horizontale normen zijn bedoeld om bruikbaar te zijn voor verschillende productcategorieën. Ze stellen gemeenschappelijke terminologie en structuren vast voor risicobeheer, productbeveiliging en de afhandeling van kwetsbaarheden. Productspecifieke normen kunnen daarop voortbouwen.
Een gemeenschappelijke terminologie ondersteunt horizontale en productspecifieke normen. Deze norm mag op zichzelf niet worden beschouwd als een norm voor productbeveiligingsmaatregelen.
Het huidige ontwerp beschrijft beginselen voor cyberweerbaarheid, risicogestuurde cyberbeveiliging van producten en levenscyclusactiviteiten. Een afzonderlijke toelichting staat in prEN 40000-1-2 Beginselen voor cyberweerbaarheid.
M/606 vraagt om generieke beveiligingsvereisten en maatregelen voor productbeveiligingseigenschappen van bijlage I, deel I. De beoogde rol wordt toegelicht in prEN 40000-1-4 Openbare materialen.
Het huidige ontwerp beschrijft de afhandeling van kwetsbaarheden voor bijlage I, deel II. Een afzonderlijke toelichting staat in prEN 40000-1-3 Afhandeling van kwetsbaarheden.
De momenteel openbare documenten 1-2 en 1-3 zijn ontwerpnormen. Ze zijn nuttig voor de planning, maar mogen niet worden aangeduid als definitieve EN-normen of aangehaalde geharmoniseerde normen zolang die status niet is bereikt.
Referentie productnormen
Voortgang van productspecifieke normen staat in Productnormen per categorie. Op die pagina staan mogelijke normen voor de categorieën in bijlage III en IV, met de status van de gecontroleerde bronnen.
Tonen hoe normen aan de vereisten bijdragen
Een product kan normen gebruiken als technisch bewijs voordat ze zijn aangehaald, maar dat is iets anders dan een wettelijk vermoeden van overeenstemming. De technische documentatie moet laten zien welke vereisten worden bestreken door aangehaalde normen, gemeenschappelijke specificaties, certificeringsregelingen of andere technische oplossingen.
De horizontale ontwerppagina’s worden afzonderlijk toegelicht: prEN 40000-1-2 Beginselen voor cyberweerbaarheid en prEN 40000-1-3 Afhandeling van kwetsbaarheden.