EU Cyber Resilience Act (EU CRA). Verklaring van de klant

De EU Cyber Resilience Act (EU CRA) is bedoeld om de beveiliging van digitale producten te verbeteren, waaronder software en verbonden apparaten. De wet stelt duidelijke en consistente regels vast voor bedrijven om deze producten op de markt te brengen. Deze verplichte verordening vermindert risico's door fabrikanten te verplichten beveiliging in hun producten in te bouwen en snel eventuele in het veld geïdentificeerde cyberbeveiligingskwetsbaarheden op te lossen. Het doel is een veiligere digitale omgeving voor iedereen te creëren door de beschikbaarheid van producten die "secure by default" zijn te stimuleren. De EU CRA vereist dat fabrikanten vanaf 11 december 2027 conforme producten op de markt van de Europese Unie brengen. Fabrikanten zijn bovendien verplicht om ernstige incidenten en actief uitgebuite kwetsbaarheden vanaf 11 september 2026 te melden aan de relevante nationale autoriteiten of Computer Security Incident Response Teams (CSIRTs).

De EU CRA verplicht dat Producten met Digitale Elementen (PDE's) die verbinding maken met of interactie hebben met andere apparaten of netwerken, moeten voldoen aan essentiële cyberbeveiligingsvereisten in hun ontwerp, ontwikkeling en productie. De wet vereist ook kwetsbaarhedenbeheer gedurende de hele levenscyclus van het product. De onderstaande beschrijving geeft een overzicht van de belangrijkste verplichtingen onder de EU CR.

De EU CRA categoriseert PDE's in vier groepen met verschillende niveaus van conformiteitsbeoordeling: "Common", "Important Class I," "Important Class II," en "Critical." "Important" en "Critical" PDE's worden vermeld in Bijlagen III en IV. "Important" PDE's (bijv. firewalls) en "Critical" PDE's (bijv. Hardware Security Module, Smartcards) bieden belangrijke cyberbeveiligingsfuncties of zijn essentieel voor belangrijke entiteiten of toeleveringsketens in de EU. Ze vereisen naleving van geharmoniseerde normen en certificering door derden.

Producten worden alleen opgenomen in Bijlagen III of IV als hun kernfuncties overeenkomen met de gespecificeerde typen; samengestelde producten, zoals machines, nemen de classificatie van kriticiteit niet over. Ondanks verschillen in conformiteitsbeoordelingen blijven de fundamentele cyberbeveiligingsvereisten voor productkenmerken consistent in alle categorieën.