Klasyfikacja produktów na podstawie unijnego Aktu w sprawie cyberodporności
Sytance · Zaktualizowano
Klasyfikacja CRA przypisuje kategorię produktowi z elementami cyfrowymi objętemu zakresem rozporządzenia. Produkt pozostaje w kategorii domyślnej, chyba że jego podstawowa funkcjonalność odpowiada ważnej kategorii z załącznika III lub krytycznej kategorii z załącznika IV.
Wyniki klasyfikacji
Klasyfikacja następuje po ustaleniu zakresu. Najpierw sprawdź, czy produkt z elementami cyfrowymi jest udostępniany na rynku UE i nie podlega wyłączeniu na podstawie art. 2. Następnie przypisz mu kategorię CRA odpowiadającą jego podstawowej funkcjonalności.
Kategoria domyślna
Kategoria rezydualna dla produktów objętych zakresem, których podstawowa funkcjonalność nie odpowiada kategorii z załącznika III ani IV.
Ważne — klasa I
Kategorie klasy I z załącznika III to produkty ważne. CRA odróżnia je od produktów klasy II.
Ważne — klasa II
Produkty klasy II z załącznika III są produktami ważnymi, dla których obowiązują surowsze ścieżki oceny zgodności.
Produkty krytyczne
Kategorie z załącznika IV to produkty krytyczne. Są wymienione osobno, niezależnie od ważnych produktów z załącznika III.
Podstawowa funkcjonalność
Produkty z elementami cyfrowymi, których podstawowa funkcjonalność odpowiada kategorii produktu określonej w załączniku III, uznaje się za ważne produkty z elementami cyfrowymi i poddaje procedurom oceny zgodności, o których mowa w art. 32 ust. 2 i 3. Włączenie produktu z elementami cyfrowymi o podstawowej funkcjonalności odpowiadającej kategorii z załącznika III samo w sobie nie powoduje, że produkt, do którego go włączono, podlega procedurom oceny zgodności, o których mowa w art. 32 ust. 2 i 3.
Rozporządzenie (UE) 2024/2847, art. 7 ust. 1
Artykuły 7 i 8 opierają się na tej samej zasadzie: produkt musi mieć podstawową funkcjonalność wymienioną w danej kategorii. Ocenia się, do czego przeznaczony jest produkt jako całość wprowadzana do obrotu. Nie wystarczy, że produkt zawiera funkcję, bibliotekę, półprzewodnik lub moduł, który sam mógłby należeć do wymienionej kategorii.
Zasada działa w obie strony. Dodatkowe funkcje nie wykluczają uznania produktu za ważny, jeśli jego główna funkcja nadal odpowiada kategorii z załącznika III. Router może zawierać funkcje zapory sieciowej, a mimo to być klasyfikowany według swojej podstawowej funkcjonalności routera. Natomiast produkt o innym głównym przeznaczeniu nie staje się produktem z danej kategorii tylko dlatego, że potrafi wykonywać niektóre podobne zadania.
Zintegrowane komponenty
Aplikacja informacyjna nie staje się produktem z kategorii przeglądarek tylko dlatego, że osadzono w niej komponent przeglądarki. Laptop nie staje się produktem z kategorii bezpiecznych elementów tylko dlatego, że zawiera bezpieczny element.
Nakładające się funkcje
Oprogramowanie SOAR może mieć możliwości podobne do SIEM, ale zgodnie z FAQ Komisji zasadniczo nie należy go do kategorii SIEM, gdy ma inną podstawową funkcjonalność.
Ważne produkty z załącznika III
Załącznik III wymienia ważne produkty z elementami cyfrowymi i dzieli je na klasę I i klasę II. Rozporządzenie 2025/2392 zawiera opis techniczny każdej wymienionej kategorii. Wynikiem jest przypisanie kategorii, a nie ogólny ranking wszystkich zagrożeń cyberbezpieczeństwa.
Klasa I
Ważne produkty, które mogą nadal podlegać kontroli wewnętrznej, jeśli zastosowano właściwe normy, wspólne specyfikacje lub ścieżkę certyfikacji.
Klasa II
Ważne produkty, dla których trzeba zastosować surowsze ścieżki oceny zgodności.
Krytyczne produkty z załącznika IV
Załącznik IV wymienia krytyczne produkty z elementami cyfrowymi. Wykaz jest węższy niż w załączniku III i obejmuje produkty o funkcjach związanych z modułami zabezpieczającymi, bramami inteligentnych liczników, bezpiecznym przetwarzaniem kryptograficznym, kartami inteligentnymi lub bezpiecznymi elementami. Akt delegowany na podstawie art. 8 może ustanowić obowiązek certyfikacji tych produktów.
Odniesienie do opisów technicznych
Rozporządzenie wykonawcze Komisji (UE) 2025/2392 zawiera opisy techniczne kategorii z załącznika III i IV; szczegółowe zasady interpretacji i pełne opisy przedstawiono w Opisy techniczne w rozporządzeniu 2025/2392.
Klasyfikacja a ocena zgodności
Klasyfikacja nie dowodzi zgodności z załącznikiem I. Informuje producenta, która ścieżka z art. 32 może być dostępna lub wymagana. Ścieżki wyjaśniono w Ocena zgodności.
Klasyfikacja i ocena ryzyka
FAQ Komisji rozdziela klasyfikację od oceny ryzyka cyberbezpieczeństwa producenta. Produkt kategorii domyślnej, produkt ważny i produkt krytyczny wymagają opartego na ryzyku zastosowania wymagań załącznika I.
Dwa produkty mogą należeć do tej samej kategorii, a mimo to wymagać odmiennych środków bezpieczeństwa ze względu na różne zamierzone przeznaczenie, przewidywalne użytkowanie i warunki użytkowania. Klasyfikacja określa ścieżkę oceny zgodności; ocena ryzyka wyjaśnia, jak produkt i procesy producenta spełniają wymogi CRA dotyczące tego produktu.