Normy zharmonizowane CRA i domniemanie zgodności
Sytance · Zaktualizowano
Zgodność z normami zharmonizowanymi może ustanawiać domniemanie zgodności z CRA dla objętych nimi wymagań tylko wtedy, gdy odniesienia do tych norm opublikowano w Dzienniku Urzędowym. Projekty norm, pozycje programów prac, zapisy planistyczne M/606 i teksty konsultacyjne mogą wspierać prace inżynierskie, ale same nie ustanawiają domniemania prawnego.
Domniemanie zgodności
Produkty z elementami cyfrowymi i procesy wdrożone przez producenta, które są zgodne z normami zharmonizowanymi lub ich częściami, których odniesienia opublikowano w Dzienniku Urzędowym Unii Europejskiej, uznaje się za zgodne z zasadniczymi wymogami cyberbezpieczeństwa określonymi w załączniku I w zakresie objętym tymi normami lub ich częściami.
Rozporządzenie (UE) 2024/2847, art. 27 ust. 1
Końcowe słowa są istotne. Norma z założenia nie obejmuje całego rozporządzenia. Obejmuje wymagania załącznika I wskazane w opublikowanym odniesieniu i tylko w odniesieniu do produktów oraz procesów mieszczących się w jej zakresie.
Norma zharmonizowana
Dobrowolna ścieżka techniczna. Domniemanie powstaje dopiero po opublikowaniu jej odniesienia w Dzienniku Urzędowym.
Wspólna specyfikacja
Zastępcza ścieżka Komisji, gdy spełniono warunki z art. 27 ust. 2, a specyfikacja obejmuje dane wymaganie.
System certyfikacji
Europejski certyfikat cyberbezpieczeństwa może wspierać wykazanie zgodności w zakresie wymagań objętych systemem.
Program prac M/606
M/606 to wniosek Komisji skierowany do CEN, CENELEC i ETSI. Strona normalizacyjna Komisji opisuje 41 wnioskowanych norm podzielonych na normy horyzontalne oraz normy wertykalne, właściwe dla produktów. CEN, CENELEC i ETSI przyjęły wniosek 3 kwietnia 2025 r.
Pozycje 1 i 15 w M/606 dotyczą pierwszej horyzontalnej normy zasad oraz horyzontalnej normy obsługi podatności.
Pozycje od 16 do 41 w M/606 dotyczą ważnych i krytycznych kategorii produktów, takich jak przeglądarki, produkty VPN, systemy operacyjne, routery, zapory sieciowe, półprzewodniki, produkty inteligentnego domu, urządzenia ubieralne i bezpieczne elementy.
Pozycje od 2 do 14 w M/606 dotyczą kolejnych norm horyzontalnych w zakresie właściwości bezpieczeństwa produktów, takich jak bezpieczne ustawienia domyślne, aktualizacje, kontrola dostępu, poufność, integralność, dostępność, ograniczanie powierzchni ataku, monitorowanie i usuwanie danych.
Normy horyzontalne
Normy horyzontalne mają być przydatne w różnych kategoriach produktów. Ustanawiają wspólną terminologię oraz strukturę zarządzania ryzykiem, bezpieczeństwem produktu i obsługą podatności. Można na nich oprzeć normy dotyczące konkretnych produktów.
Wspólna terminologia wspiera normy horyzontalne i dotyczące konkretnych produktów. Sama w sobie nie powinna być traktowana jako norma ustanawiająca środki bezpieczeństwa produktu.
Aktualny projekt opisuje zasady cyberodporności, oparte na ryzyku cyberbezpieczeństwo produktu i działania w cyklu życia. Omówiono go osobno w prEN 40000-1-2 Zasady cyberodporności.
M/606 wymaga ogólnych wymagań i środków bezpieczeństwa dla właściwości produktu określonych w części I załącznika I. Planowaną rolę wyjaśniono w Materiały publiczne prEN 40000-1-4.
Aktualny projekt wyjaśnia obsługę podatności w zakresie części II załącznika I. Omówiono go osobno w prEN 40000-1-3 Obsługa podatności.
Obecne publiczne dokumenty 1-2 i 1-3 to projekty norm. Są przydatne do planowania, ale nie należy opisywać ich jako ostatecznych norm EN ani norm zharmonizowanych, których odniesienia przywołano, dopóki nie uzyskają takiego statusu.
Odniesienie do norm dotyczących produktów
Postępy w pracach nad normami dotyczącymi konkretnych produktów wymieniono w Normy dotyczące produktów według kategorii. Ta strona zawiera potencjalne normy dla kategorii z załącznika III i IV oraz wskazuje status sprawdzonych źródeł.
Wykazywanie, jak normy wspierają spełnienie wymagań
Produkt może korzystać z norm jako dowodów inżynierskich przed publikacją odniesienia, ale nie jest to równoznaczne z prawnym domniemaniem zgodności. Dokumentacja techniczna powinna wskazywać, które wymagania objęto przywołanymi normami, wspólnymi specyfikacjami, systemami certyfikacji lub innymi rozwiązaniami technicznymi.
Strony dotyczące projektów norm horyzontalnych opisano osobno: prEN 40000-1-2 Zasady cyberodporności oraz prEN 40000-1-3 Obsługa podatności.