Overholdelse av EUs Cyber ​​Resilience Act (CRA): En omfattende veiledning

Tilkoblede produkter blir en del av nesten alle forbruker- og industriproduktkategorier. Smarte apparater, sikkerhetskameraer, bærbare enheter, nettverksutstyr, mobilapplikasjoner, innebygd programvare og skytilkoblede produkter kan alle skape cybersikkerhetsrisikoer hvis de ikke er designet, vedlikeholdt og oppdatert på en sikker måte.

Den europeiske union har svart med Lov om cyberrobusthet, formelt kjent som Forordning (EU) 2024/2847.

Cyber ​​Resilience Act (CRA) innfører obligatoriske krav til cybersikkerhet for maskinvare- og programvareprodukter som bringes på markedet i EU. Den endrer cybersikkerhet fra en stort sett frivillig teknisk praksis til en formell forpliktelse til samsvar med produktkrav.

Produsenter må vurdere cybersikkerhetsrisikoer, bygge inn sikkerhet i produktet, dokumentere samsvar med regelverket, håndtere sårbarheter, tilby sikkerhetsoppdateringer og, der det er nødvendig, rapportere aktivt utnyttede sårbarheter og alvorlige sikkerhetshendelser.

For mange produkter vil samsvar med CRA-krav også bli en del av CE-merkingsprosessen.

Hva er EUs lov om cyberrobusthet?

Cyberrobusthetsloven er en horisontal EU-forordning om cybersikkerhet for produkter. Den gjelder bredt for maskinvare- og programvareprodukter med digitale elementer som gjøres tilgjengelige på EU-markedet.

Formålet er å sikre at produkter utvikles sikkert og forblir sikre gjennom hele forventet bruksperiode. Det har også som mål å gi brukerne tydeligere informasjon om produktsikkerhet, tilgjengelige oppdateringer og varigheten av nettsikkerhetsstøtte.

CRA tar for seg to tilbakevendende problemer i markedet for digitale produkter:

1. Produkter bringes ofte på markedet med utilstrekkelige cybersikkerhetstiltak eller kjente sårbarheter.
2. Produsenter kan tilby utilstrekkelige sikkerhetsoppdateringer, informasjon om sårbarheter eller støtte etter markedsføring etter at et produkt er solgt.

I henhold til CRA må produsenter vurdere cybersikkerhet under planlegging, design, utvikling, produksjon, levering og vedlikehold av et produkt. Cybersikkerhet er derfor ikke lenger begrenset til en endelig penetrasjonstest eller en forhåndsgjennomgang. Det må integreres i produktets livssyklus.

Ytterligere informasjon er tilgjengelig i Sammendrag av EU-kommisjonens lov om cyberrobusthet.

Når gjelder loven om cyberrobusthet?

CRA trådte i kraft den 10. desember 2024, men kravene gjelder i etapper.

• 11. juni 2026: Bestemmelser om varsling av samsvarsvurderingsorganer begynner å gjelde.
• 11. september 2026: Rapporteringsplikter for aktivt utnyttede sårbarheter og alvorlige sikkerhetshendelser begynner å gjelde.
• 11. desember 2027: De fleste gjenværende kravene fra CRA-ene blir fullt gjeldende.

Produkter som ble brakt inn på EU-markedet før 11. desember 2027 er vanligvis bare underlagt de viktigste kravene fra kredittvurderingsbyråer dersom de gjennomgår en vesentlig endring etter denne datoen. Rapporteringsforpliktelsene som gjelder fra 11. september 2026 kan imidlertid også påvirke produkter som allerede ble gjort tilgjengelige på EU-markedet.

Produsenter bør ikke vente til desember 2027 med å begynne forberedelsene. Det kan ta betydelig tid å etablere en sikker utviklingsprosess, produsere en programvareliste, fullføre cybersikkerhetstesting og implementere prosedyrer for rapportering av sårbarheter.

Hvilke produkter dekkes av CRA?

CRA gjelder vanligvis for en produkt med digitale elementer hvis tiltenkte formål eller rimelig forutsigbare bruk omfatter en direkte eller indirekte logisk eller fysisk dataforbindelse til en enhet eller et nettverk.

Et produkt med digitale elementer kan inneholde:

• Et maskinvareprodukt
• Et programvareprodukt
• Maskinvare- eller programvarekomponenter selges separat
• Innebygd fastvare
• Fjernbaserte databehandlingsløsninger som er nødvendige for at produktet skal kunne utføre en av sine funksjoner

Fjernbehandling av data kan omfatte en produsentstyrt skytjeneste der fraværet av denne tjenesten ville forhindre produktet i å utføre en av sine tiltenkte funksjoner.

Eksempler på potensielt dekkede produkter

Avhengig av funksjonene deres og hvordan de leveres, kan produkter som dekkes av CRA omfatte:

• Tingenes internett-enheter
• Smarthjem-produkter
• Tilkoblede husholdningsapparater
• Smarte sikkerhetskameraer og alarmsystemer
• Smarte låser
• Tilkoblede leker
• Bærbare enheter
• Rutere, modemer og nettverkssvitsjer
• Datamaskiner, smarttelefoner og nettbrett
• Eksterne lagringsenheter
• Nettverksgrensesnittprodukter
• Industrielle kontrollprodukter
• Tilkoblede sensorer
• Adgangskontrollsystemer
• Operativsystemer
• Mobil- og skrivebordsapplikasjoner
• Passordbehandlere
• Programvare for virtuelle private nettverk
• Brannmurer
• Programvare for antivirus og skadelig programvare
• Innebygd programvare og fastvare
• Programvarebiblioteker og kommersielle programvarekomponenter
• Videospill og annen frittstående programvare

Definisjonen er bevisst bred. Et produkt trenger ikke nødvendigvis å koble seg direkte til internett. En indirekte tilkobling til en annen enhet eller et annet nettverk kan være tilstrekkelig.

For eksempel kan et Bluetooth-aktivert produkt som kobles til en smarttelefonapplikasjon falle inn under CRA-en selv om selve produktet ikke kobles direkte til internett.

Gjelder CRA for frittstående programvare?

Ja. Frittstående programvare som gjøres tilgjengelig på EU-markedet kan falle inn under CRA-ens virkeområde.

Dette kan omfatte:

• Mobilapplikasjoner
• Skrivebordsapplikasjoner
• Operativsystemer
• Sikkerhetsprogramvare
• Kommersielle programvarebiblioteker
• Programvare for enhetsadministrasjon
• Verktøy for nettverksadministrasjon
• Programvare solgt via nedlastingsplattformer
• Programvare levert uten et separat fysisk produkt

Hvorvidt programvare er dekket avhenger av hvordan den leveres, om den gjøres tilgjengelig som en del av en kommersiell aktivitet og om et spesifikt unntak gjelder.

Programvare som leveres utelukkende som en tjeneste kan kreve en mer detaljert vurdering. CRA regulerer vanligvis ikke alle programvare-som-en-tjeneste-ordninger, men fjerndatabehandlingsfunksjonalitet som er nødvendig for at et dekket produkt skal kunne utføre en av dets funksjoner, kan være en del av produktet med digitale elementer.

Hvilke produkter er ekskludert?

Enkelte produktkategorier er unntatt eller regulert gjennom annen sektorspesifikk EU-lovgivning.

Avhengig av omstendighetene kan unntak gjelde for produkter som dekkes av lovgivning som regulerer:

• Medisinsk utstyr
• Medisinsk utstyr til in vitro-diagnostikk
• Sivil luftfart
• Motorkjøretøy
• Visse typer marint utstyr
• Produkter utviklet utelukkende for nasjonal sikkerhet eller forsvarsformål
• Enkelte typer gratis og åpen kildekode-programvare levert utenfor en kommersiell aktivitet

Behandling av programvare med åpen kildekode krever spesiell forsiktighet. Programvare som er gjort tilgjengelig utenfor en kommersiell aktivitet kan unntas, mens kommersielt leverte produkter med åpen kildekode og visse forvaltere av programvare med åpen kildekode kan ha forpliktelser overfor kredittvurderingsbyråer.

Et produkt bør ikke behandles som unntatt bare fordi det er underlagt en annen EU-lovgivning. Produsenter må undersøke om den andre lovgivningen spesifikt dekker de relevante kravene til nettsikkerhet, og om CRA gir et helt eller delvis unntak.

Hvem er produsenten under CRA?

Produsenten er den fysiske eller juridiske personen som utvikler, produserer eller får et produkt med digitale elementer designet, utviklet eller produsert, og markedsfører dette produktet under eget navn eller varemerke.

Et selskap kan derfor anses som produsent selv når:

• Det fysiske produktet er laget av en tredjepartsfabrikk.
• Programvaren er utviklet av en ekstern leverandør.
• Fastvaren leveres av et annet selskap.
• Selskapet importerer et ferdig produkt og selger det under eget merke.
• Utviklingsarbeid settes ut til programvareingeniører eller tekniske tjenesteleverandører.

Outsourcing av utvikling outsourcer ikke produsentens juridiske ansvar.

Selskapet som markedsfører produktet under sitt navn eller varemerke, må sørge for at hele produktet, inkludert tredjeparts programvare- og maskinvarekomponenter, oppfyller CRA-kravene.

Hva er produsentens viktigste forpliktelser overfor et kredittvurderingsbyrå?

Produsentene har hovedansvaret for samsvar.

Før et produkt med digitale elementer bringes ut på EU-markedet, må produsenten generelt:

1. Avgjør om produktet faller inn under CRA-ens virkeområde.
2. Avgjør om produktet er et standard-, viktig- eller kritisk produkt.
3. Utfør en risikovurdering for cybersikkerhet.
4. Design, utvikling og produksjon av produktet i samsvar med de grunnleggende kravene til cybersikkerhet.
5. Utvis aktsomhet når du integrerer tredjepartskomponenter.
6. Etablere prosesser for håndtering av sårbarheter.
7. Bestem og dokumenter produktstøtteperioden.
8. Forbered den nødvendige tekniske dokumentasjonen.
9. Utfør den nødvendige samsvarsvurderingen.
10. Utarbeid og signer EU-samsvarserklæringen.
11. Fest CE-merkingen.
12. Oppgi nødvendig produktinformasjon og sikkerhetsinstruksjoner.
13. Overvåk sårbarheter og hendelser etter at produktet er brakt på markedet.
14. Sørg for sikkerhetsoppdateringer i løpet av støtteperioden.
15. Iverksett korrigerende tiltak når et produkt ikke er i samsvar med regelverket eller utgjør en cybersikkerhetsrisiko.
16. Overhold gjeldende frister for rapportering av sårbarheter og hendelser.

Produsenten må kunne demonstrere samsvar gjennom registre, prosedyrer og teknisk dokumentasjon. En generell erklæring om at et produkt er sikkert vil ikke være tilstrekkelig.

Viktige krav til nettsikkerhet

Vedlegg I til CRA inneholder de grunnleggende kravene til cybersikkerhet.

Disse kravene er delt inn i to hovedområder:

• Produktets cybersikkerhetsegenskaper
• Krav til håndtering av sårbarheter

Sikkerhet gjennom design og standard

Produkter må designes, utvikles og produseres for å sikre et passende nivå av cybersikkerhet basert på risikoene deres.

Avhengig av produktet kan dette kreve tiltak som tar for seg:

• Sikre standardkonfigurasjoner
• Autentisering
• Adgangskontroll
• Konfidensialitet
• Kryptering
• Dataintegritet
• Tjeneste- og systemtilgjengelighet
• Beskyttelse mot uautorisert tilgang
• Beskyttelse mot manipulasjon
• Reduksjon av angrepsflate
• Begrensning av eksponerte grensesnitt
• Sikker kommunikasjon
• Motstandskraft mot tjenestenektangrep
• Sikkerhetslogging og overvåking
• Sikker sletting av data
• Reduksjon av unødvendig databehandling
• Beskyttelse mot kjente angrepsteknikker
• Sikre oppdateringsmekanismer
• Gjenoppretting etter sikkerhetshendelser

De riktige kontrollene avhenger av produktet, dets tiltenkte bruk, rimelig forutsigbar feilbruk, driftsmiljø og potensielle konsekvenser av et vellykket cyberangrep.

Ingen kjente utnyttbare sårbarheter

Et produkt må ikke markedsføres med kjente utnyttbare sårbarheter.

Dette krever mer enn å gjennomføre en engangstest rett før lansering. Produsenter trenger en prosess for å identifisere, evaluere, prioritere og løse sårbarheter som påvirker:

• Proprietær programvare
• Fastvare
• Operativsystemer
• Åpen kildekode-biblioteker
• Tredjeparts programvarekomponenter
• Kommunikasjonsprotokoller
• Maskinvarekomponenter
• Skyavhengigheter
• Mobilapplikasjoner
• Applikasjonsprogrammeringsgrensesnitt

Sikre oppdateringer

Der sikkerhetsoppdateringer er nødvendige, må produsenter gjøre dem tilgjengelige uten forsinkelse og vanligvis gratis i løpet av støtteperioden.

For mange produkter bør sikkerhetsoppdateringer installeres automatisk som standard der det er teknisk mulig. Brukere bør generelt kunne utsette eller deaktivere automatisk installasjon gjennom en tydelig og tilgjengelig mekanisme.

Sikkerhetsoppdateringer bør, der det er mulig, skilles fra funksjonsoppdateringer. Dette bidrar til å forhindre at brukere blir tvunget til å godta urelaterte funksjonelle endringer bare for å motta en viktig sikkerhetsrettelse.

Vurdering av cybersikkerhetsrisiko

Risikovurderingen for cybersikkerhet er et av de sentrale dokumentene fra CRA.

Det bør ikke være en generell sjekkliste for IT-sikkerhet. Den må forholde seg til det spesifikke produktet, dets komponenter, tiltenkt bruk, forutsigbar bruk, brukere, data, tilkobling og driftsmiljø.

Hva risikovurderingen bør dekke

En passende risikovurdering kan vurdere:

• Produktarkitektur
• Maskinvare- og programvarekomponenter
• Kommunikasjonsteknologier
• Nettverksgrensesnitt
• Skytjenester
• Mobilapplikasjoner
• Brukerroller og -rettigheter
• Autentiseringsmetoder
• Data behandlet eller lagret
• Kryptering og nøkkelhåndtering
• Oppdateringsmekanismer
• Tredjepartsavhengigheter
• Potensielle trusselaktører
• Angrepsvektorer
• Kjente svakheter
• Forutsigbart misbruk
• Konsekvenser av kompromiss
• Eksisterende sikkerhetskontroller
• Gjenværende risikoer
• Nødvendig testing
• Tiltak for håndtering av sårbarheter
• Overvåking etter markedsføring

Når risikovurderingen bør oppdateres

Vurderingen må informere produktets design og utvikling. Den bør også gjennomgås når det skjer vesentlige endringer, for eksempel:

• En større programvareoppdatering
• En ny produktfunksjon
• En endring i produktarkitekturen
• Integreringen av en ny tredjepartskomponent
• En betydelig ny trussel
• Oppdagelse av en aktivt utnyttet sårbarhet
• En endring av produktets tiltenkte bruk
• En vesentlig endring i sky- eller nettverksinfrastrukturen

Risikovurderingen er en del av den tekniske dokumentasjonen og kan bli forespurt av markedstilsynsmyndighetene.

Programvare materialliste

EN Programvare materialliste, ofte kalt en SBOM, er en strukturert oversikt over programvarekomponentene som finnes i et produkt.

Informasjon som vanligvis inkluderes i en SBOM

En SBOM kan identifisere:

• Proprietære programvaremoduler
• Åpen kildekode-biblioteker
• Tredjepartsavhengigheter
• Fastvarekomponenter
• Komponentnavn
• Komponentversjoner
• Leverandører
• Lisenser
• Avhengighetsforhold
• Referanser til kjente sårbarheter
• Pakkeidentifikatorer

SBOM-en hjelper produsenten med å avgjøre om produktene deres er berørt når en sårbarhet oppdages i en tredjepartskomponent.

Hvorfor SBOM må opprettholdes

Hvis for eksempel et mye brukt programvarebibliotek viser seg å inneholde en kritisk sårbarhet, bør produsenten raskt kunne identifisere:

• Hvilke produkter bruker det berørte biblioteket
• Hvilke produktversjoner er berørt
• Om den sårbare funksjonen er tilgjengelig eller utnyttbar
• Om en korrigerende oppdatering er nødvendig
• Hvilke kunder eller myndigheter som må informeres
• Om rapporteringspliktene til kredittvurderingsbyrået utløses

En SBOM er ikke nyttig hvis den opprettes én gang og aldri oppdateres. Produsenter trenger versjonskontroll og en prosess for å vedlikeholde den etter hvert som programvaren endres.

Krav til håndtering av sårbarheter

CRA-samsvar fortsetter etter at produktet er brakt på markedet.

Produsenter må etablere prosesser for å:

• Identifiser sårbarheter
• Motta rapporter om sårbarheter
• Dokumentsårbarheter
• Vurder alvorlighetsgraden og utnyttbarheten deres
• Overvåk sårbarheter som påvirker tredjepartskomponenter
• Test og gjennomgå produktsikkerhet
• Rett opp sårbarheter uten forsinkelse
• Distribuer sikkerhetsoppdateringer på en sikker måte
• Informer brukere om tilgjengelige rettelser
• Offentliggjør informasjon om reparerte sårbarheter der det er nødvendig
• Bevar konfidensialiteten til sårbarhetsinformasjon inntil en rettelse er tilgjengelig
• Oppretthold en koordinert policy for rapportering av sårbarheter

Koordinert sårbarhetsavsløring

Produsenter bør publisere en tydelig og aktivt overvåket metode som sikkerhetsforskere, kunder og andre parter kan bruke for å rapportere sårbarheter.

Prosessen bør identifisere:

• Kontaktpersonen for rapportering
• Informasjonen som rapportererne skal gi
• Produsentens bekreftelsesprosess
• Forventede responstider
• Forventninger til konfidensialitet
• Hvordan produsenten koordinerer offentliggjøring
• Hvordan sikkerhetsforskere vil bli behandlet
• Hvordan rettelser og råd vil bli publisert

Rapporteringsplikter for kredittvurderingsbyråer fra september 2026

Rapporteringspliktene i henhold til artikkel 14 gjelder fra 11. september 2026.

Produsenter må rapportere visse aktivt utnyttede sårbarheter og alvorlige hendelser gjennom CRAs felles rapporteringsplattform som vedlikeholdes av Den europeiske unions byrå for cybersikkerhet (ENISA).

Rapporteringsfrister

Rapporteringsprosessen inkluderer vanligvis:

• Et tidlig varsel innen 24 timer
• En mer detaljert varsling innen 72 timer
• En sluttrapport innen den gjeldende lovbestemte perioden

Aktivt utnyttede sårbarheter

For en aktivt utnyttet sårbarhet kreves den endelige rapporten vanligvis senest 14 dager etter at et korrigerende eller avbøtende tiltak blir tilgjengelig.

Alvorlige sikkerhetshendelser

For en alvorlig sikkerhetshendelse kreves den endelige rapporten vanligvis innen én måned etter 72-timers varselet.

Rapporteringsfristen starter når produsenten blir oppmerksom på den relevante sårbarheten eller hendelsen. Produsenter trenger derfor interne eskaleringsprosedyrer som gjør at informasjon raskt når frem til ansvarlig compliance- og sikkerhetspersonell.

En sårbarhet oppdaget av et kundesupportteam, en ekstern forsker, en distributør, en programvareleverandør eller et utenlandsk utviklingskontor kan utløse den samme juridiske rapporteringsprosessen som en sårbarhet oppdaget av produsentens sentrale cybersikkerhetsteam.

Hva er en aktivt utnyttet sårbarhet?

En aktivt utnyttet sårbarhet er ikke bare en teoretisk svakhet eller hver oppføring i en sårbarhetsdatabase.

I praksis må produsenten vurdere om det finnes pålitelige bevis for at en ondsinnet aktør har utnyttet sårbarheten i et system uten systemeierens tillatelse.

Dette skillet er viktig fordi rapporteringsplikten til kredittvurderingsbyrået er knyttet til aktiv utnyttelse, ikke bare til eksistensen av alle potensielle sårbarheter.

Produsenter må imidlertid fortsatt identifisere, evaluere og utbedre sårbarheter som ikke aktivt utnyttes som en del av sine generelle forpliktelser til håndtering av sårbarheter.

Støtteperiode og sikkerhetsoppdateringer

Produsenter må bestemme en støtteperiode der sårbarheter skal håndteres og sikkerhetsoppdateringer skal leveres.

Faktorer som påvirker støtteperioden

Støtteperioden må gjenspeile faktorer som:

• Forventet bruksperiode
• Produktets art og tiltenkte formål
• Rimelige brukerforventninger
• Driftsmiljøet
• Varigheten som lignende produkter vanligvis støttes
• Tilgjengeligheten av reservedeler eller tilkoblede tjenester
• Nettsikkerhetsrisikoene knyttet til avviklet støtte

Sluttdatoen for støtteperioden, inkludert måned og år, må kommuniseres tydelig til brukerne på kjøpstidspunktet.

Produsenter bør unngå å behandle støtteperioden som en markedsføringserklæring uten operasjonelt grunnlag. De må ha den tekniske og organisatoriske evnen til å overvåke sårbarheter, utvikle oppdateringer og distribuere disse oppdateringene gjennom hele den erklærte perioden.

Langsiktige leverandøravtaler

Dette kan kreve langsiktige avtaler med:

• Programvareutviklere
• Leverandører av fastvare
• Skyleverandører
• Komponentprodusenter
• Mobilapplikasjonsutviklere
• Tjenester for overvåking av nettsikkerhet
• Testlaboratorier
• Leverandører av hosting og infrastruktur

Produktinformasjon og brukerinstruksjoner

Produkter som dekkes av CRA må ledsages av tydelig informasjon og instruksjoner.

Avhengig av produktet kan informasjonen inneholde:

• Produsentens juridiske navn
• Registrert handelsnavn eller varemerke
• Postadresse
• E-postadresse eller annen digital kontakt
• Produkttype, batch, serienummer eller annen identifikator
• Tiltenkt formål
• Viktige produktfunksjoner
• Nettsikkerhetsegenskaper
• Sikre installasjonsinstruksjoner
• Instruksjoner for sikker konfigurasjon
• Instruksjoner for sikker bruk
• Informasjon om relevante sikkerhetsoppdateringer
• Instruksjoner for installasjon av oppdateringer
• Informasjon om automatiske oppdateringer
• Instruksjoner for deaktivering av automatiske oppdateringer, der det er aktuelt
• Sluttdato for støtteperiode
• Kontakt for rapportering av sårbarheter
• Koordinert informasjon om sårbarhetsavsløring
• Instruksjoner for sikker sletting av brukerdata
• Relevante advarsler eller begrensninger for nettsikkerhet

Instruksjonene må være klare, forståelige, forståelige og lesbare. De må gis på et språk som brukere og relevante myndigheter lett kan forstå i den medlemsstaten der produktet selges.

Teknisk dokumentasjon

Produsenter må utarbeide teknisk dokumentasjon før de bringer et dekket produkt på markedet.

Den tekniske filen skal vise hvordan produktet er i samsvar med CRA-forskriftene, og skal normalt inneholde:

• Generell produktbeskrivelse
• Produktidentifikasjon
• Tiltenkt formål
• Tiltenkte brukere
• Produktversjoner
• Maskinvarearkitektur
• Programvarearkitektur
• Fastvare- og programvareversjoner
• Kommunikasjonsgrensesnitt
• Nettverksarkitektur
• Avhengigheter for fjerndatabehandling
• Design- og utviklingsinformasjon
• Vurdering av cybersikkerhetsrisiko
• Vurdering av essensielle krav
• Anvendte standarder eller tekniske spesifikasjoner
• Beskrivelser av sikkerhetskontroll
• Testplaner og testrapporter
• Sårbarhetsvurderinger
• Penetrasjonstestrapporter, der det er relevant
• Programvare materialliste
• Sikre utviklingsregistre
• Oppdaterings- og patchhåndteringsprosedyrer
• Prosedyre for håndtering av sårbarheter
• Koordinert policy for rapportering av sårbarheter
• Begrunnelse for støtteperiode
• Produktetiketter
• Brukerinstruksjoner
• Samsvarsvurderingsrapporter
• EU-samsvarserklæring
• Opplysninger om det meldte organet, der det er aktuelt

Dokumentasjonen må være spesifikk nok til at myndighetene kan vurdere produktets samsvar.

En samling av sertifikater uten en klar forbindelse til produktet, risikoer og CRA-krav vil vanligvis ikke utgjøre en tilstrekkelig teknisk fil.

Produktklassifisering i henhold til CRA

Kredittvurderingsbyrået bruker ulike samsvarsvurderingsruter avhengig av produktets type og risikoprofil.

Produktene faller vanligvis inn i en av følgende grupper:

• Standardprodukter
• Viktige produkter, klasse I
• Viktige produkter, klasse II
• Kritiske produkter

Klassifiseringen avhenger av om produktet har kjernefunksjonaliteten til en kategori oppført i vedlegg III eller vedlegg IV.

Standardprodukter

Produkter som ikke er klassifisert som viktige eller kritiske følger vanligvis standardruten.

Produsenter av disse produktene kan vanligvis bruke internkontroll, også kjent som modul A, for å vurdere samsvar.

Dette betyr ikke at det ikke kreves noen vurdering eller testing. Produsenten må fortsatt:

• Fullfør risikovurderingen for cybersikkerhet
• Møt de grunnleggende kravene til nettsikkerhet
• Utarbeide teknisk dokumentasjon
• Innhent passende teknisk bevis
• Utfør nødvendig testing
• Etablere prosedyrer for håndtering av sårbarheter
• Utarbeid EU-samsvarserklæringen
• Fest CE-merkingen

Selvvurdering betyr at produsenten tar ansvar for samsvarsvurderingen. Den fjerner ikke de underliggende tekniske forpliktelsene.

Viktige produkter, klasse I

Klasse I omfatter spesifiserte produkter med betydelige cybersikkerhetsfunksjoner eller hvis kompromittering kan skape bredere sikkerhetsrisikoer.

Avhengig av kjernefunksjonaliteten deres kan eksempler inkludere visse:

• Identitetsstyringssystemer
• Produkter for administrasjon av privilegert tilgang
• Nettlesere
• Passordbehandlere
• Antivirusprodukter
• Virtuelle private nettverksprodukter
• Nettverksstyringssystemer
• Sikkerhetsinformasjon og hendelseshåndteringssystemer
• Oppstartsadministratorer
• Offentlig nøkkelinfrastrukturprodukter
• Operativsystemer
• Rutere, modemer og svitsjer
• Smarthjemprodukter med sikkerhetsfunksjoner
• Mikroprosessorer og mikrokontrollere med sikkerhetsrelatert funksjonalitet

For produkter i klasse I kan internkontroll fortsatt være mulig når produsenten fullt ut anvender relevante harmoniserte standarder, felles spesifikasjoner eller en gjeldende europeisk sertifiseringsordning for cybersikkerhet.

Der disse metodene ikke er tilgjengelige eller ikke anvendes fullt ut, kan det være nødvendig med samsvarsvurdering fra en tredjepart gjennom et teknisk kontrollorgan.

Viktige produkter, klasse II

Klasse II dekker viktige produkter med høyere risiko.

Avhengig av kjernefunksjonaliteten deres kan eksempler inkludere visse:

• Hypervisorer
• Container-kjøretidssystemer
• Brannmurer
• Innbruddsdeteksjonssystemer
• Systemer for inntrenging
• Sikkerhetssikre mikroprosessorer
• Sikkerhetssikre mikrokontrollere

Klasse II-produkter krever vanligvis samsvarsvurdering fra en tredjepart gjennom et teknisk kontrollorgan eller en gjeldende europeisk sertifiseringsordning for cybersikkerhet.

Kritiske produkter

Kritiske produkter er oppført separat i vedlegg IV og er underlagt de strengeste kravene til samsvarsvurdering.

Produsenter bør ikke klassifisere et produkt kun basert på dets kommersielle navn. Klassifiseringen avhenger av produktets kjernefunksjonalitet og de tekniske beskrivelsene som er vedtatt i henhold til CRA.

Samsvarsvurdering

Før produktet bringes i omsetning, må produsenten fullføre den aktuelle samsvarsvurderingsprosedyren.

Avhengig av klassifiseringen kan aktuelle alternativer omfatte:

• Intern kontroll
• EU-typeprøving etterfulgt av typesamsvar
• Full kvalitetssikring
• Tredjepartsvurdering av et meldt organ
• En gjeldende europeisk sertifiseringsordning for cybersikkerhet

Tilgjengeligheten av egenvurdering avhenger av produktkategorien og, for visse klasse I-produkter, om relevante harmoniserte standarder eller andre anerkjente samsvarsruter er blitt anvendt fullt ut.

Produsenter bør bestemme ruten for samsvarsvurdering tidlig. Hvis man oppdager sent i produktutviklingen at det er nødvendig med involvering av et meldt organ, kan det forsinke markedsadgangen.

Harmoniserte standarder

Harmoniserte europeiske standarder forventes å spille en viktig rolle i samsvar med kravene i kredittvurderingsmyndighetene.

Når en relevant harmonisert standard er sitert i Den europeiske unions tidende og anvendt korrekt, kan den gi en formodning om samsvar med de tilsvarende lovkravene.

Inntil passende standarder er tilgjengelige, må produsenter fortsatt demonstrere samsvar gjennom passende tekniske metoder og bevis.

Relevante eksisterende standarder og rammeverk for nettsikkerhet kan støtte forberedelsene, avhengig av produktet. Bruk av en anerkjent standard beviser imidlertid ikke automatisk samsvar med alle kredittvurderingsbyråets forpliktelser, med mindre den har den nødvendige juridiske statusen og dekker de relevante kravene.

Dokumentasjon av bruk av standarder

Produsenter bør dokumentere:

• Hvilken standard eller spesifikasjon ble brukt
• Hvilken versjon ble brukt
• Hvilke krav til kredittvurderingsbyrået dekker det
• Om den ble brukt helt eller delvis
• Hvordan eventuelle avdekkede krav ble håndtert
• Hvilke tester eller vurderinger ble fullført

EU-samsvarserklæring

Når samsvar er dokumentert, må produsenten utarbeide og signere en EU-samsvarserklæring.

Erklæringen bekrefter at produsenten tar ansvar for at produktet er i samsvar med gjeldende EU-krav.

Den bør inneholde informasjonen som kreves i vedlegg V, slik som:

• Produktnavn og identifikasjon
• Produsentens navn og adresse
• Ansvarserklæring
• Erklæringens gjenstand
• Gjeldende EU-lovgivning
• Relevante harmoniserte standarder eller spesifikasjoner
• Informasjon om det varslede organet, der det er aktuelt
• Ytterligere samsvarsinformasjon
• Utstedelsessted og -dato
• Navn, stilling og signatur til den autoriserte personen

Der flere EU-lover gjelder for samme produkt, kan produsenten vanligvis utarbeide én EU-samsvarserklæring som dekker all gjeldende lovgivning.

For eksempel kan en tilkoblet trådløs enhet også falle inn under radioutstyrsdirektivet, RoHS-direktivet, krav til elektromagnetisk kompatibilitet og annen produktspesifikk lovgivning.

Importørens forpliktelser

En EU-importør som bringer et produkt fra en produsent utenfor EU på markedet i Unionen, må bekrefte at produsenten har oppfylt de gjeldende forpliktelsene til CRA.

Blant annet må importøren kontrollere at:

• Den nødvendige samsvarsvurderingen ble fullført
• Den tekniske dokumentasjonen ble utarbeidet
• EU-samsvarserklæringen er tilgjengelig
• Produktet er CE-merket
• Produktidentifikasjon er tilstede
• Produsentinformasjon er oppgitt
• Nødvendige instruksjoner følger med produktet
• Støtteperioden er angitt
• Prosesser for håndtering av sårbarheter er på plass

Hvis importøren mener at produktet ikke er i samsvar med kravene eller utgjør en betydelig cybersikkerhetsrisiko, må de ikke bringe produktet på markedet før problemet er løst.

Importører må også samarbeide med myndighetene og kan ha forpliktelser når de blir oppmerksomme på sårbarheter som påvirker produktet.

Distributørens forpliktelser

Distributører må utvise tilbørlig aktsomhet når de gjør produkter tilgjengelige på EU-markedet.

De må bekrefte relevante formelle samsvarselementer, inkludert:

• Produktidentifikasjon
• Produsent- og importørdetaljer
• Nødvendig brukerinformasjon
• Sikkerhetsinstruksjoner
• Informasjon om støtteperioden

En distributør må ikke fortsette å levere et produkt som den har grunn til å tro ikke er i samsvar med regelverket. Den kan også måtte informere produsenten eller importøren og samarbeide med markedstilsynsmyndighetene.

EU-autorisert representant

En produsent etablert utenfor EU kan utnevne en EU-autorisert representant gjennom et skriftlig mandat.

Den autoriserte representanten kan utføre spesifiserte regulatoriske oppgaver på vegne av produsenten, for eksempel:

• Å holde EU-samsvarserklæringen tilgjengelig
• Å holde teknisk dokumentasjon tilgjengelig for myndighetene
• Svar på begrunnede fullmaktsforespørsler
• Tilveiebringelse av samsvarsinformasjon
• Samarbeid med markedstilsynsmyndighetene
• Støtte til sporbarhet og regulatorisk kommunikasjon
• Informere produsenten om forespørsler fra myndighetene

Utnevnelse av en autorisert representant overfører imidlertid ikke produsentens kjerneansvar for produktet.

Ansvar som fortsatt ligger hos produsenten

Produsenten er fortsatt ansvarlig for:

• Sikker produktdesign og -utvikling
• Vurdering av cybersikkerhetsrisiko
• Samsvar med viktige krav
• Teknisk dokumentasjon
• Samsvarsvurdering
• Sårbarhetshåndtering
• Sikkerhetsoppdateringer
• Hendelsesrapportering
• Korrigerende tiltak
• Fortsatt produktsamsvar

Vesentlige modifikasjoner

En person som foretar en vesentlig modifikasjon av et produkt og deretter gjør produktet tilgjengelig på markedet, kan påta seg produsentansvar.

En modifikasjon kan være vesentlig når den påvirker produktets samsvar med de grunnleggende kravene til cybersikkerhet eller endrer dets tiltenkte formål.

Eksempler på potensielt vesentlige modifikasjoner

• Legger til viktig tilkoblet funksjonalitet
• Endring av autentiseringsarkitektur
• Bytte ut operativsystemet
• Introduksjon av en ny skyplattform
• Legge til fjernkontrollfunksjonalitet
• Aktivering av nye nettverksgrensesnitt
• Gjøre betydelige endringer i sikkerhetskritisk programvare
• Endring av den tiltenkte brukergruppen eller driftsmiljøet

Rutinemessige sikkerhetsoppdateringer som gjenoppretter eller opprettholder samsvar, bør ikke automatisk behandles som vesentlige endringer. Likevel bør produsenter og nedstrømsoperatører dokumentere betydelige produktendringer og vurdere deres regulatoriske effekt.

Overvåking etter markedsføring og korrigerende tiltak

CRA-samsvar er en løpende forpliktelse.

Etter at produktet er brakt på markedet, må produsenten fortsette å overvåke relevant informasjon om cybersikkerhet.

Potensielle overvåkingskilder

Kilder kan omfatte:

• Intern sikkerhetstesting
• Kundeklager
• Sårbarhetsrapporter
• Sikkerhetsforskere
• Komponentleverandører
• Sikkerhetsråd om åpen kildekode
• Sårbarhetsdatabaser
• Trusseletterretningstjenester
• Importører og distributører
• Markedstilsynsmyndighetene
• Håndteringsteam for datasikkerhetshendelser
• ENISA-kommunikasjon

Mulige korrigerende tiltak

Dersom et produkt viser seg å ikke være i samsvar med regelverket eller å utgjøre en cybersikkerhetsrisiko, kan det være nødvendig for produsenten å:

• Rett opp produktet
• Utgi en sikkerhetsoppdatering
• Tilby en løsning
• Varsle berørte brukere
• Informer importører og distributører
• Varsle relevante myndigheter
• Begrens produkttilgjengelighet
• Ta tilbake produktet
• Tilbakekalling av produktet

Responsen bør stå i forhold til risikoen, men passivitet er ikke en akseptabel compliance-strategi.

Oppbevaring av journaler

Produsenter må oppbevare den nødvendige tekniske dokumentasjonen og EU-samsvarserklæringen i den gjeldende perioden i henhold til CRA.

Et system for oppbevaring av lydopptak bør bevare:

• Produktversjoner
• Programvareversjoner
• SBOM-versjoner
• Risikovurderingsversjoner
• Testrapporter
• Sårbarhetsavgjørelser
• Sikkerhetsråd
• Registrering av korrigerende tiltak
• Oppdater historikk
• Hendelsesrapporter
• Myndighetskommunikasjon
• Samsvarserklæringer

Versjonskontroll er spesielt viktig. Myndighetene må kanskje bestemme hvilken programvare, komponenter og samsvarsdokumentasjon som gjaldt for en bestemt produktversjon på et bestemt tidspunkt.

Straff for manglende overholdelse

CRA har bestemmelser om betydelige administrative bøter.

Avhengig av overtredelsen kan straffene være:

• Opptil €15 millioner eller 2,5 % av den totale årlige omsetningen på verdensbasis, avhengig av hva som er høyest, for visse alvorlige overtredelser
• Opptil €10 millioner eller 2 % av den globale årlige omsetningen, avhengig av hva som er høyest, for andre forpliktelser
• Opptil €5 millioner eller 1 % av den globale årlige omsetningen, avhengig av hva som er høyest, for å ha gitt uriktige, ufullstendige eller villedende opplysninger til meldte organer eller markedstilsynsmyndigheter

Myndighetene kan også beordre korrigerende tiltak, begrense eller forby produktsalg, kreve tilbaketrekking eller beordre tilbakekalling.

De kommersielle konsekvensene kan derfor gå utover selve boten. Brudd på regelverket kan påvirke tilgangen til EU-distributører, nettmarkedsplasser, forhandlere, kunder, anskaffelsesprogrammer og forsikringsdekning.

En praktisk veikart for samsvar med CRA-regler

Trinn 1: Bekreft produktomfanget

Avgjør om produktet er et produkt med digitale elementer og om det gjelder et unntak.

Dokument:

• Produktet
• Programvare og fastvare
• Tilkobling
• Fjernstyrte databehandlingsfunksjoner
• Tiltenkt formål
• Kommersiell forsyningsmodell
• Gjeldende unntak

Trinn 2: Klassifiser produktet

Avgjør om produktet er:

• Et standardprodukt
• Viktig klasse I
• Viktig klasse II
• Kritisk

Klassifiseringen bestemmer ruten for samsvarsvurdering.

Trinn 3: Kartlegg forsyningskjeden og ansvarsområdene

Identifisere:

• Lovlig produsent
• Programvareutviklere
• Maskinvareprodusenter
• Komponentleverandører
• Skyleverandører
• EU-importør
• Distributører
• EU-autorisert representant
• Testleverandører
• Varslet organ, der det er nødvendig

Kontraktsmessig ansvar bør støtte produsentens juridiske forpliktelser.

Trinn 4: Utfør risikovurderingen for cybersikkerhet

Identifiser trusler mot cybersikkerhet, sårbarheter, mulige konsekvenser og nødvendige kontroller.

Vurderingen bør dekke hele produktet, inkludert eksterne komponenter og skyavhengigheter.

Trinn 5: Kartlegg de viktigste kravene

Lag en samsvarsmatrise som knytter hvert gjeldende krav fra et kredittvurderingsbyrå til:

• Produktkontroll
• Designspesifikasjon
• Prosedyre
• Testresultat
• Teknisk dokument
• Ansvarlig person
• Enestående action

Trinn 6: Etabler den sikre utviklingslivssyklusen

Dokumenter hvordan cybersikkerhet håndteres under:

• Kravdefinisjon
• Arkitektur
• Utvikling
• Kodegjennomgang
• Komponentvalg
• Testing
• Utgivelse
• Vedlikehold
• Utbedring av sårbarheter
• Slutt på livet

Trinn 7: Klargjør og vedlikehold SBOM-en

Identifiser alle relevante programvarekomponenter og etabler en prosess for overvåking av sårbarheter som påvirker dem.

Trinn 8: Fullfør teknisk testing

Avhengig av produktet og risikoene kan testingen omfatte:

• Sårbarhetsskanning
• Penetrasjonstesting
• Kildekodeanalyse
• Analyse av programvaresammensetning
• Autentiseringstesting
• Krypteringsgjennomgang
• Grensesnitttesting
• Testing av oppdateringsmekanisme
• Fuzz-testing
• Testing av nettverkssikkerhet
• Testing av motstandskraft
• Gjennomgang av sikker konfigurasjon

Testingen bør være basert på risikovurderingen og samsvarsruten.

Trinn 9: Etablere prosedyrer for sårbarheter og hendelser

Forbered prosedyrer for:

• Motta rapporter
• Triage
• Alvorlighetsvurdering
• Eskalering
• Utbedring
• Avsløring
• Brukerkommunikasjon
• ENISA-rapportering
• Myndighetskommunikasjon
• Korrigerende tiltak

Trinn 10: Bestem støtteperioden

Definer og begrunn hvor lenge produsenten vil tilby oppdateringer for håndtering av sårbarheter og sikkerhetsproblemer.

Sørg for at tekniske leverandører og utviklingsressurser forblir tilgjengelige i den perioden.

Trinn 11: Klargjør brukerinformasjon og merking

Anmeldelse:

• Produktidentifikasjon
• Produsentinformasjon
• Importørinformasjon
• CE-merking
• Sikkerhetsinstruksjoner
• Oppdateringsinstruksjoner
• Kontaktperson for sårbarheter
• Sluttdato for støtte
• Instruksjoner for sikker sletting av data

Trinn 12: Kompiler den tekniske dokumentasjonen

Organiser bevisene i en strukturert teknisk fil for et kredittvurderingsbyrå.

Trinn 13: Fullfør samsvarsvurderingen

Bruk internkontroll, et varslet organ eller en annen tillatt rute i henhold til produktklassifiseringen.

Trinn 14: Signer EU-samsvarserklæringen

Produsenten skal først signere erklæringen etter at den gjeldende vurderingen er fullført og samsvar er dokumentert.

Trinn 15: Oppretthold samsvar med regelverket etter markedsføring

Overvåk sårbarheter, gi oppdateringer, rapporter relevante hendelser og oppdater dokumentasjonen når produktet endres.

Vanlige feil i samsvar med CRA-regler

Behandling av CRA som en engangssertifisering

Kredittvurderingsbyrået krever kontinuerlig håndtering av sårbarheter, sikkerhetsoppdateringer, overvåking og korrigerende tiltak.

Forutsatt at alle produkter kan selvsertifiseres

Viktige klasse II- og kritiske produkter krever vanligvis tredjepartsvurdering. Klasse I-produkter kan også kreve involvering av varslet organ der relevante anerkjente spesifikasjoner ikke anvendes fullt ut.

Stol kun på penetrasjonstesting

Penetrasjonstesting kan gi nyttig bevis, men erstatter ikke risikovurdering, sikker utviklingsprosess, sårbarhetsprosedyrer, teknisk dokumentasjon eller støtteforpliktelser.

Ignorerer tredjepartskomponenter

Produsenten er fortsatt ansvarlig for å vurdere risikoene som skapes av integrerte biblioteker, fastvare, brikkesett, operativsystemer og skytjenester.

Opprette en SBOM uten å overvåke den

En utdatert komponentliste gir ikke et effektivt system for håndtering av sårbarheter.

Erklære en urealistisk støtteperiode

Produsenten må kunne tilby sikkerhetsoppdateringer og håndtere sårbarheter i løpet av den oppgitte perioden.

Manglende kontakt mellom tekniske team og regulatoriske team

24-timers rapporteringsfristen krever rask intern kommunikasjon. Kundeservice, ingeniører, juridiske, compliance- og ledelsesteam bør forstå eskaleringsruten.

Venter på harmoniserte standarder før man handler

Produsenter er fortsatt ansvarlige for samsvar selv om standarder og støttende veiledning fortsetter å utvikles.

Hvordan EaseCert støtter samsvar med CRA-regler

EaseCert tilbyr en Autorisert representant og samsvarstjeneste i henhold til EUs lov om cyberrobusthet for produsenter av produkter med digitale elementer.

Tjenesten er spesielt utviklet for produsenter etablert utenfor EU som trenger støtte til samsvar med regelverk og en EU-basert autorisert representant.

EaseCert CRA-samsvarstjenester

Vår tjeneste inkluderer:

• Vurdering av anvendelighet av kredittvurderingsbyråer
• Gjennomgang av produkt- og programvareomfang
• Gjennomgang av produktklassifisering
• Gjennomgang av samsvarsvurderingsruten
• Gjennomgang av eksisterende teknisk dokumentasjon
• Gjennomgang av dokumentasjon av cybersikkerhet
• Analyse av gap i samsvar med nettsikkerhet
• Gjennomgang av livssyklusen for sikker programvareutvikling
• Gjennomgang av produktidentifikasjon og sporbarhet
• Gjennomgang av etiketter og CE-merkingsinformasjon
• Gjennomgang av brukerdokumentasjon og sikkerhetsinstruksjoner
• Gjennomgang av prosedyrer for håndtering av sårbarheter
• Gjennomgang av programvareoppdateringer og vedlikeholdsprosedyrer
• Gjennomgang av programvarens materialliste
• Gjennomgang av dokumentasjon for støtteperioden
• Gjennomgang av EU-samsvarserklæring
• Skriftlig samsvarsrapport og anbefalinger
• Skriftlig mandat fra EU-autorisert representant
• Utnevnelse av EaseCert GmbH som EU-autorisert representant
• Oppbevaring av EU-samsvarserklæringen og teknisk dokumentasjon
• EU-basert regulatorisk kontaktperson
• Støtte med forespørsler fra markedstilsynsmyndighetene
• Reguleringsveiledning gjennom hele prosjektet

Der det er nødvendig med teknisk testing av nettsikkerhet, kan EaseCert bistå med å definere testomfanget og koordinere med et kvalifisert nettsikkerhetslaboratorium eller en teknisk leverandør.

EaseCert utfører ikke penetrasjonstesting, kildekodeanalyse eller laboratorietesting av cybersikkerhet og fungerer ikke som et varslet organ. Produsenten er fortsatt ansvarlig for produktets cybersikkerhet, samsvarsvurdering, tekniske nøyaktighet, håndtering av sårbarheter, oppdateringer, rapportering og kontinuerlig samsvar.

EaseCerts rolle som EU-autorisert representant

For godkjente produkter produsert utenfor EU kan EaseCert GmbH fungere som EU-autorisert representant.

Innenfor det avtalte mandatet kan EaseCert:

• Hold EU-samsvarserklæringen tilgjengelig for myndighetene
• Hold nødvendig teknisk dokumentasjon tilgjengelig
• Svar på begrunnede forespørsler om samsvarsinformasjon
• Samarbeide med markedstilsynsmyndighetene
• Støtt sporbarhetskontroller
• Støtte kommunikasjon fra myndighetene
• Informer produsenten om relevante myndighetsforespørsler

Utnevnelsen trer i kraft etter at dokumentasjonsgjennomgangen er fullført, produktene er akseptert av EaseCert og det skriftlige mandatet er signert av begge parter.

Få støtte til samsvar med CRA-regler og EU-representasjon

Begynn å forberede deg til CRA-en

Cyber ​​Resilience Act oppretter et nytt samsvarsrammeverk for tilkoblet maskinvare, frittstående programvare, innebygd programvare og digitale komponenter.

For produsenter er den største utfordringen ikke bare å utarbeide en samsvarserklæring. Samsvar krever koordinering mellom produktutvikling, cybersikkerhet, kvalitetssikring, regulatoriske saker, kundesupport, forsyningskjedehåndtering og toppledelse.

Fire spørsmål produsenter bør svare på

1. Gjelder CRA for vårt produkt?
2. Hvilken produktklassifiserings- og samsvarsvurderingsrute gjelder?
3. Har vi tilstrekkelig bevis og teknisk dokumentasjon for cybersikkerhet?
4. Kan vi overvåke, oppdatere og støtte produktet gjennom hele den erklærte støtteperioden?

Produsenter etablert utenfor EU bør også avgjøre om de trenger en autorisert representant i EU og hvordan de vil håndtere forespørsler fra EUs markedstilsynsmyndigheter.

EaseCert støtter internasjonale produsenter med gjennomgang av CRA-anvendbarhet, vurdering av samsvarshull, gjennomgang av teknisk dokumentasjon og tjenester for EU-autoriserte representanter.

Se EaseCerts autoriserte representant og samsvarstjeneste i henhold til EUs lov om cyberrobusthet

Offisielle kilder og videre lesning

Følgende offisielle kilder i EU inneholder juridisk tekst, implementeringsveiledning og støtteinformasjon angående EUs lov om cyberrobusthet:

• Forordning (EU) 2024/2847, loven om cyberrobusthet
  Den offisielle og juridisk bindende teksten til loven om cyberrobusthet publisert i Den europeiske unions tidende.
• Europakommisjonen: Lov om cyberrobusthet
  Europakommisjonens hovedside om policyer som dekker formålet, omfanget, implementeringen og de forventede effektene av loven om cyberrobusthet.
• Europakommisjonen: Sammendrag av lovteksten om cyberrobusthet
  Et offisielt sammendrag av CRA-kravene, inkludert produktomfang, forpliktelser fra økonomiske aktører, samsvarsvurdering og implementeringsdatoer.
• Europakommisjonen: Ofte stilte spørsmål om implementering av loven om cyberrobusthet
  Offisielle svar på praktiske spørsmål angående produktomfang, programvare, fjerndatabehandling, støtteperioder, rapportering og implementering.
• Europakommisjonen: Implementering av loven om cyberrobusthet
  En oversikt over implementeringsprosessen for CRA, inkludert veiledning, standardiseringsaktiviteter og ressurser for produsenter og andre interessenter.
• ENISA: Felles rapporteringsplattform for loven om cyberrobusthet
  Offisiell informasjon om plattformprodusentene vil bruke til å rapportere aktivt utnyttede sårbarheter og alvorlige sikkerhetshendelser fra 11. september 2026.
• ENISA: Kartlegging av kravstandarder i henhold til loven om cyberrobusthet
  En ENISA-studie som kartlegger eksisterende standarder for nettsikkerhet mot CRA-kravene og identifiserer områder som krever ytterligere standardisering.
• ENISA: Implementering av loven om cyberrobusthet gjennom EUs sertifiseringsordning for cybersikkerhet
  En offisiell studie som undersøker hvordan den europeiske ordningen for cybersikkerhetssertifisering basert på felles kriterier kan støtte samsvarsvurdering fra kredittvurderingsbyråer.

Denne artikkelen gir generell regulatorisk informasjon og utgjør ikke juridisk rådgivning. Produktomfang, klassifisering, samsvarsvurdering og dokumentasjonskrav må vurderes for hvert produkt individuelt.