Kategorie ważnych i krytycznych produktów CRA
Sytance · Zaktualizowano
Ważne i krytyczne produkty to objęte CRA produkty, których podstawowa funkcjonalność odpowiada kategorii z załącznika III lub IV. Rozporządzenie wykonawcze Komisji (UE) 2025/2392 określa opisy techniczne używane przy interpretacji nazw tych kategorii.
Opisy techniczne w rozporządzeniu 2025/2392
Do dnia 11 grudnia 2025 r. Komisja przyjmuje akt wykonawczy określający opis techniczny kategorii produktów z elementami cyfrowymi w klasach I i II wymienionych w załączniku III oraz opis techniczny kategorii produktów z elementami cyfrowymi wymienionych w załączniku IV. Akt wykonawczy przyjmuje się zgodnie z procedurą sprawdzającą, o której mowa w art. 62 ust. 2.
Rozporządzenie (UE) 2024/2847, art. 7 ust. 4
Rozporządzenie 2025/2392 jest tym aktem wykonawczym. Nie zastępuje załącznika III ani IV. Wyjaśnia techniczne znaczenie nazw kategorii, aby ten sam produkt klasyfikowano jednakowo w całej UE.
Objaśnienie opisów technicznych i sposobu ich interpretacji znajduje się w Opisy techniczne w rozporządzeniu 2025/2392.
Podstawowa funkcjonalność
FAQ Komisji ujmuje to prosto: producent powinien ocenić podstawową funkcjonalność produktu. Sama obecność danej funkcji w produkcie nie wystarczy. Produktu o innym głównym przeznaczeniu nie klasyfikuje się jako ważnego lub krytycznego tylko dlatego, że zawiera, osadza albo potrafi naśladować wymienioną funkcję.
Komponent wewnątrz produktu
Wbudowana przeglądarka sama w sobie nie czyni aplikacji informacyjnej produktem z kategorii przeglądarek.
Sprzęt zabezpieczający wewnątrz urządzenia
Bezpieczny element w laptopie sam w sobie nie czyni laptopa produktem z kategorii bezpiecznych elementów.
Podobne możliwości
Oprogramowanie SOAR może wykonywać zadania podobne do SIEM, choć podstawową funkcją tego oprogramowania nie jest SIEM.
Produkty ważne
Załącznik III dzieli produkty ważne na klasę I i klasę II. Klasa II podlega surowszym wymaganiom. Poniżej wymieniono nazwy kategorii; opisy techniczne znajdują się w rozporządzeniu 2025/2392.
Załącznik III wymienia następujące kategorie klasy I:
- Systemy zarządzania tożsamością oraz oprogramowanie i sprzęt do zarządzania uprzywilejowanym dostępem, w tym czytniki uwierzytelniania i kontroli dostępu, także czytniki biometryczne
- Samodzielne i wbudowane przeglądarki
- Menedżery haseł
- Oprogramowanie do wykrywania, usuwania lub kwarantanny złośliwego oprogramowania
- Produkty z elementami cyfrowymi pełniące funkcję wirtualnej sieci prywatnej (VPN)
- Systemy zarządzania siecią
- Systemy zarządzania informacjami i zdarzeniami bezpieczeństwa (SIEM)
- Menedżery rozruchu
- Infrastruktura klucza publicznego i oprogramowanie do wystawiania certyfikatów cyfrowych
- Fizyczne i wirtualne interfejsy sieciowe
- Systemy operacyjne
- Routery, modemy przeznaczone do łączenia z Internetem i przełączniki
- Mikroprocesory z funkcjami związanymi z bezpieczeństwem
- Mikrokontrolery z funkcjami związanymi z bezpieczeństwem
- Układy scalone do zastosowań specjalnych (ASIC) i programowalne układy logiczne (FPGA) z funkcjami związanymi z bezpieczeństwem
- Wirtualni asystenci ogólnego przeznaczenia do inteligentnego domu
- Produkty do inteligentnego domu z funkcjami bezpieczeństwa, w tym inteligentne zamki do drzwi, kamery bezpieczeństwa, elektroniczne nianie i systemy alarmowe
- Zabawki połączone z Internetem, objęte dyrektywą Parlamentu Europejskiego i Rady 2009/48/WE, wyposażone w funkcje interakcji społecznych (np. mówienie lub filmowanie) albo śledzenia lokalizacji
- Osobiste urządzenia ubieralne przeznaczone do noszenia na ciele lub umieszczania na nim, służące do monitorowania stanu zdrowia (np. śledzenia), do których nie stosuje się rozporządzenia Parlamentu Europejskiego i Rady (UE) 2017/745 ani (UE) 2017/746, lub osobiste urządzenia ubieralne przeznaczone do użytku przez dzieci lub na ich rzecz
Załącznik III wymienia następujące kategorie klasy II:
- Hipernadzorcy (hypervisory) i środowiska uruchomieniowe kontenerów obsługujące zwirtualizowane wykonywanie systemów operacyjnych i podobnych środowisk
- Zapory sieciowe, systemy wykrywania włamań i systemy zapobiegania włamaniom
- Mikroprocesory odporne na manipulacje
- Mikrokontrolery odporne na manipulacje
Produkty krytyczne
Załącznik IV jest krótszy niż załącznik III. Obejmuje produkty o szczególnie skoncentrowanej roli w zakresie bezpieczeństwa, takie jak sprzęt odporny na manipulacje, bramy inteligentnych liczników, karty inteligentne i bezpieczne elementy.
- Sprzętowe urządzenia z modułami zabezpieczającymi
- Bramy inteligentnych liczników należące do systemów inteligentnego opomiarowania zdefiniowanych w art. 2 pkt 23 dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/944 oraz inne urządzenia do zaawansowanych celów bezpieczeństwa, w tym bezpiecznego przetwarzania kryptograficznego
- Karty inteligentne lub podobne urządzenia, w tym bezpieczne elementy
Skutek klasyfikacji
Kategoria produktu określa, z których ścieżek oceny można skorzystać, aby wykazać zgodność z załącznikiem I. Nie rozstrzyga, czy produkt wchodzi w zakres rozporządzenia, ani nie zastępuje oceny ryzyka cyberbezpieczeństwa.
- Ważne produkty klasy I mogą korzystać z kontroli wewnętrznej tylko w odniesieniu do wymagań objętych zastosowanymi normami zharmonizowanymi, wspólnymi specyfikacjami lub właściwym systemem certyfikacji; w pozostałych przypadkach wymagana jest surowsza ścieżka.
- Ważne produkty klasy II podlegają modułowi B i C, modułowi H albo właściwemu europejskiemu systemowi certyfikacji cyberbezpieczeństwa.
- Produkty krytyczne podlegają certyfikacji na podstawie art. 8 ust. 1, jeżeli uruchomiono tę ścieżkę; w przeciwnym razie stosuje się ścieżki dla klasy II określone w art. 32 ust. 3.
- Ważne bezpłatne i otwarte oprogramowanie z załącznika III może korzystać ze ścieżek z art. 32 ust. 1, jeżeli w chwili wprowadzenia produktu do obrotu dokumentacja techniczna wymagana w art. 31 jest publiczna.
Szczegóły ścieżek wyjaśniono w Ocena zgodności.