Checklist technische documentatie volgens de CRA

Documentatieverplichting

De technische documentatie bevat alle relevante gegevens of details van de middelen die de fabrikant gebruikt om ervoor te zorgen dat het product met digitale elementen en de door de fabrikant ingestelde processen voldoen aan de essentiële cyberbeveiligingseisen in bijlage I. De documentatie bevat ten minste de elementen van bijlage VII.

Verordening (EU) 2024/2847, artikel 31, lid 1

Artikel 31 vereist dat het dossier uitlegt hoe het product en de processen van de fabrikant aan bijlage I voldoen. De documentatie omvat daarom zowel het productontwerp als de maatregelen voor kwetsbaarhedenafhandeling na de release.

Timing en updates

De technische documentatie wordt opgesteld voordat het product met digitale elementen in de handel wordt gebracht en wordt zo nodig voortdurend bijgewerkt, in ieder geval gedurende de ondersteuningsperiode.

Verordening (EU) 2024/2847, artikel 31, lid 2

De technische documentatie moet bestaan voordat het product in de handel wordt gebracht. Vervolgens moet deze actueel worden gehouden wanneer wijzigingen tijdens de ondersteuningsperiode van belang zijn.

• Een gewijzigd productontwerp, een gewijzigde architectuur, softwareversie of updatemethode kan een update noodzakelijk maken.
• Een gewijzigde cyberbeveiligingsrisicobeoordeling kan een update noodzakelijk maken.
• Nieuwe informatie over kwetsbaarheden kan een update noodzakelijk maken.
• Voor een opnieuw ontworpen of opnieuw beoordeeld product moet de documentatie de gewijzigde versies identificeren.

Inhoud van bijlage VII

Bijlage VII bevat de lijst met minimale inhoud. Deze kan het best worden gelezen als categorieën van bewijs en niet als een sjabloon voor een tabel. De exacte details zijn afhankelijk van het betreffende product.

Checklist voor een productrelease op basis van bijlage VII

De volgende index volgt de acht onderdelen van bijlage VII. Dit is een voorbeeld van hoe de informatie kan worden geordend, geen voorgeschreven mappenstructuur en geen vereiste om acht afzonderlijke bestanden te exporteren. In elk bestand waarnaar wordt verwezen, moeten het toepasselijke product en de versie worden vermeld.

1. Productbeschrijving: doel, softwareversies die van invloed zijn op conformiteit, relevante hardware-images en markeringen en gebruikersinformatie uit bijlage II.
2. Ontwerp en processen: architectuur en relaties tussen componenten; kwetsbaarhedenafhandeling, SBOM, openbaarmakingsbeleid, meldcontact en veilige updates; productie, monitoring en procesvalidatie.
3. Cyberbeveiligingsrisicobeoordeling: productrisico's en onderbouwing van de toepasselijkheid van de eisen van bijlage I, deel I.
4. Ondersteuningsperiode: de informatie die is gebruikt om de duur ervan vast te stellen.
5. Normen en technische oplossingen: toegepaste bepalingen, hun status en de mate waarin ze worden gebruikt, en de oplossingen voor eisen die ze niet afdekken.
6. Verificatierapporten: tests van het product en de processen voor kwetsbaarhedenafhandeling aan de hand van toepasselijke essentiële eisen.
7. EU-conformiteitsverklaring: de verklaring die hoort bij het beoordeelde product.
8. SBOM op verzoek van een autoriteit: de toepasselijke SBOM wanneer een markttoezichtautoriteit deze met redenen omkleed opvraagt en nodig heeft om conformiteit met bijlage I te controleren.

Voor een fictieve release 1.2 van een controller kan de index verwijzen naar de releasedescription, de architectuurrevisie, de risicobeoordeling, de SBOM, de updatetests en gebruikersinstructies voor die release. Bij een recentere risicobeoordeling in combinatie met een ouder testrapport van de firmware moet worden uitgelegd of de geteste maatregelen nog steeds van toepassing zijn.

Controleer de volledigheid aan de hand van de toepasselijke informatie uit bijlage VII en de beoordeelde productversie. Een documentindex helpt beoordelaars de analyse en resultaten achter elke conclusie te vinden, inclusief informatie die nog ontbreekt.

Koppelingen tussen bewijsmateriaal

De risicobeoordeling licht de gekozen beveiligingsmaatregelen toe; componentregistraties identificeren de software die met die maatregelen wordt beschermd; registraties over kwetsbaarhedenafhandeling laten zien wat er gebeurt wanneer een nieuw probleem wordt gevonden. Op de volgende pagina's worden de inhoud en het gebruik van elke registratie uitgelegd.

Risicobeoordeling

Artikel 13, lid 4, vereist dat de cyberbeveiligingsrisicobeoordeling in de technische documentatie wordt opgenomen. In de risicobeoordeling wordt uitgelegd hoe bijlage I op het product van toepassing is, met inbegrip van de redenen waarom een eis voor een producteigenschap niet relevant is, als dat de conclusie van de fabrikant is.

Volgens de FAQ van de Commissie moet het dossier beschikbaar zijn wanneer het product in de handel wordt gebracht, ongeacht of het binnen of buiten de EU is vervaardigd. De FAQ vermeldt ook dat latere herontwerpen en nieuwe beoordelingen in de technische documentatie moeten worden verwerkt.

Conformiteit en gebruik door autoriteiten

De technische documentatie is voornamelijk bedoeld voor conformiteitsbeoordeling en markttoezicht. Volgens de FAQ van de Commissie hoeft deze normaal gesproken niet beschikbaar te worden gesteld aan klanten of het publiek.

De belangrijkste publieke uitzondering in de FAQ betreft bepaalde belangrijke vrije en opensourcesoftwareproducten die de zelfbeoordelingsroute van artikel 32, lid 5, volgen.