Gebruikersinformatie en instructies volgens de CRA
Sytance · Bijgewerkt
CRA-gebruikersinformatie is het materiaal dat bij het product wordt geleverd en gebruikers helpt het product veilig te installeren, te bedienen en bij te werken, kwetsbaarheden te melden en het product buiten gebruik te stellen. De informatie is bedoeld voor gebruikers, integratoren, eigenaren en operators, en niet alleen voor het interne dossier van de fabrikant.
Informatie voor gebruikers
Fabrikanten zorgen ervoor dat producten met digitale elementen vergezeld gaan van de gebruikersinformatie en -instructies uit bijlage II, op papier of elektronisch. Deze informatie en instructies worden verstrekt in een taal die gebruikers en markttoezichtautoriteiten gemakkelijk kunnen begrijpen. Ze moeten duidelijk, begrijpelijk, helder en leesbaar zijn. Ze moeten de veilige installatie, werking en het gebruik van producten met digitale elementen mogelijk maken. Fabrikanten houden de gebruikersinformatie en -instructies uit bijlage II gedurende ten minste tien jaar na het in de handel brengen van het product met digitale elementen of gedurende de ondersteuningsperiode, indien die langer is, ter beschikking van gebruikers en markttoezichtautoriteiten. Wanneer deze informatie en instructies online worden verstrekt, zorgen fabrikanten ervoor dat deze toegankelijk en gebruiksvriendelijk zijn en gedurende ten minste tien jaar na het in de handel brengen van het product met digitale elementen of gedurende de ondersteuningsperiode, indien die langer is, online beschikbaar blijven.
Verordening (EU) 2024/2847, artikel 13, lid 18
De informatie kan op papier of elektronisch worden verstrekt. Zij moet zijn opgesteld in een taal die gebruikers en markttoezichtautoriteiten gemakkelijk kunnen begrijpen. Als de informatie online staat, moet zij gedurende de vereiste periode toegankelijk en gebruiksvriendelijk blijven.
Gebruikersmateriaal
Hierin worden veilig gebruik, ondersteuning, updates, contactmogelijkheden en de risico-informatie uitgelegd die gebruikers nodig hebben.
Onderdeel van het bewijsdossier
Bijlage VII neemt de gebruikersinformatie van bijlage II ook op in de technische documentatie.
Inhoud van bijlage II
Bijlage II bevat de minimale inhoud. De bijlage combineert productidentiteit en ondersteuningsinformatie met instructies voor veilig gebruik en contactgegevens voor kwetsbaarheidsmeldingen.
Bijlage II vraagt om de naam van de fabrikant, contactgegevens, indien beschikbaar een website en voldoende productinformatie om het product uniek te identificeren.
Gebruikers moeten weten hoe zij informatie over kwetsbaarheden kunnen melden en ontvangen en waar zij het beleid voor gecoördineerde openbaarmaking van kwetsbaarheden kunnen vinden.
De informatie moet het beoogde doel, de beveiligingsomgeving, essentiële functies, beveiligingseigenschappen en bekende of voorzienbare omstandigheden beschrijven die tot aanzienlijke cyberbeveiligingsrisico's kunnen leiden.
Bijlage II vraagt om het type technische beveiligingsondersteuning en de einddatum van de ondersteuningsperiode. Ook zijn instructies nodig voor de installatie van beveiligingsrelevante updates.
Bijlage II vraagt om informatie over veilige ingebruikname, veilig gebruik gedurende de volledige levensduur, veilige buitengebruikstelling, verwijdering van gegevens, instellingen voor automatische updates en integratie-informatie als het product bedoeld is om in een ander product te worden geïntegreerd.
Instructies voor veilig gebruik
De CRA vraagt niet om algemene beveiligingsadviezen. De instructies moeten aansluiten bij het product, het beoogde doel, voorzienbaar gebruik en de gebruikers die het installeren of bedienen.
Bijlage II, punt 8, vereist instructies of een link daarnaartoe over:
- maatregelen die nodig zijn tijdens de eerste ingebruikname en gedurende de volledige levensduur van het product;
- hoe wijzigingen aan het product de gegevensbeveiliging kunnen beïnvloeden;
- hoe beveiligingsrelevante updates kunnen worden geïnstalleerd;
- veilige buitengebruikstelling en veilige verwijdering van gebruikersgegevens;
- hoe automatische beveiligingsupdates kunnen worden uitgeschakeld als deze standaard zijn ingeschakeld;
- integratie-informatie die een andere fabrikant of integrator nodig heeft.
Duidelijke instructies vervangen het ontwerp niet
Gebruikersinformatie kan aannames en restrisico's toelichten. Zij kan niet worden gebruikt om productbeveiligingseisen onbehandeld te laten.
Ondersteuningsdatum bij aankoop
Artikel 13, lid 19, vereist dat de einddatum van de ondersteuningsperiode op het moment van aankoop duidelijk is. De datum moet ten minste de maand en het jaar bevatten. Als dit technisch haalbaar is, moeten gebruikers ook op de hoogte worden gesteld wanneer het product het einde van de ondersteuning bereikt.
Bij aankoop
Gebruikers moeten de einddatum van de ondersteuning op het moment van aankoop kunnen zien.
Tijdens gebruik
Gebruikers hebben update-instructies nodig die overeenkomen met de daadwerkelijke updatemethode van het product.
Afbakening ten opzichte van technische documentatie
Gebruikersinformatie en technische documentatie zijn bedoeld voor verschillende doelgroepen. Gebruikersinformatie is bedoeld voor veilig gebruik. De technische documentatie is het bewijsdossier waarmee conformiteit met de CRA wordt aangetoond.
Bijlage VII neemt de gebruikersinformatie van bijlage II op in de technische documentatie, maar vraagt ook om intern bewijs, zoals ontwerpgegevens, architectuur, informatie over het proces voor kwetsbaarhedenafhandeling, de cyberbeveiligingsrisicobeoordeling, de onderbouwing van de ondersteuningsperiode, gebruikte normen en testrapporten.