EU's forordning om cybersikkerhed og robusthed (EU CRA). Kundedeklaration

EU's forordning om cybersikkerhed og robusthed (EU CRA) er udformet for at styrke sikkerheden for digitale produkter, herunder software og forbundne enheder. Forordningen fastsætter klare og ensartede regler, som virksomheder skal følge, når de bringer disse produkter på markedet. Denne obligatoriske regulering reducerer risici ved at kræve, at producenter indbygger sikkerhed i deres produkter og hurtigt afhjælper eventuelle cybersikkerhedssårbarheder, der identificeres i praksis. Målet er at skabe et tryggere digitalt miljø for alle ved at fremme tilgængeligheden af produkter, der er "sikre som standard". EU CRA kræver, at producenter bringer overensstemmende produkter på EU-markedet fra den 11. december 2027. Producenter er også forpligtet til at rapportere alvorlige hændelser og aktivt udnyttede sårbarheder til de relevante nationale myndigheder eller Computer Security Incident Response Teams (CSIRTs) fra den 11. september 2026.

EU CRA pålægger, at produkter med digitale elementer (PDE'er), som forbinder eller interagerer med andre enheder eller netværk, skal opfylde væsentlige cybersikkerhedskrav i deres design, udvikling og produktion. Forordningen kræver også håndtering af sårbarheder gennem hele produktets livscyklus. Beskrivelsen nedenfor giver et overblik over de vigtigste forpligtelser i henhold til EU CR.

EU CRA kategoriserer PDE'er i fire grupper med varierende niveauer for overensstemmelsesvurdering: "Common," "Important Class I," "Important Class II," og "Critical." "Important" og "Critical" PDE'er er anført i bilag III og IV. "Important" PDE'er (f.eks. firewalls) og "Critical" PDE'er (f.eks. Hardware Security Module, Smartcards) leverer centrale cybersikkerhedsfunktioner eller er væsentlige for centrale enheder eller forsyningskæder i EU. De kræver overholdelse af harmoniserede standarder og tredjepartscertificering.

Produkter er kun opført under bilag III eller IV, hvis deres kernefunktioner svarer til de angivne typer; sammensatte produkter, såsom maskiner, arver ikke klassifikationen som kritiske. På trods af forskelle i overensstemmelsesvurderingerne forbliver de grundlæggende cybersikkerhedskrav til produktegenskaber ens på tværs af alle kategorier.