Bilag
Hvad er bilagene i CRA?
Bilagene i Cyber Resilience Act (CRA) udgør en central og juridisk bindende del af forordningen. Hvor artiklerne fastlægger de overordnede regler og ansvar, specificerer bilagene de tekniske, dokumentationsmæssige og proceduremæssige krav, som fabrikanter og andre aktører skal opfylde.
Flere bilag anvendes ofte i kombination, fx ved produktklassificering, dokumentation og overensstemmelseserklæring.
CRA indeholder otte bilag – hver med sit fokusområde:
| Bilag | Titel | Formål |
|---|---|---|
| Bilag I | Væsentlige cybersikkerhedskrav | Krav til design, udvikling og sårbarhedshåndtering i hele produktets livscyklus. |
| Bilag II | Brugsvejledning og information | Krav om letforståelig dokumentation til brugere og kontaktpunkt for rapportering. |
| Bilag III | Vigtige produkter (klasse I & II) | Liste over produkter med øget cybersikkerhedsprofil og krav om strammere overensstemmelsesprocedurer. |
| Bilag IV | Kritiske produkter | Underkategori af vigtige produkter med særlig kritisk risikoprofil – kræver altid tredjepartsvurdering eller certificering. |
| Bilag V | Model for EU-overensstemmelseserklæring | Skabelon for fabrikanters erklæring om overholdelse af CRA. |
| Bilag VI | Forenklet erklæring | Forkortet version af erklæringen til brug i manualer, emballage og UI – med link til fuld erklæring. |
| Bilag VII | Teknisk dokumentation | Krav til indhold, struktur og sprog for dokumentation til brug for myndigheder og tredjepart. |
| Bilag VIII | Overensstemmelsesvurderingsprocedurer | Beskriver procedurerne (A, B, C, H) for intern kontrol og tredjepartsvalidering. |
ℹ️ Bilag VIII er centralt: Det beskriver de fire overensstemmelsesprocedurer (Modul A, B, C og H), og afgør hvorvidt intern kontrol er tilstrækkeligt – eller om tredjepart skal inddrages.
Forholdet mellem Bilag III og Bilag IV
CRA anvender en to-trins klassificeringsmodel for produkter med øget cybersikkerhedsrisiko:
- Bilag III – Vigtige produkter
- Indeholder en bredere liste af produkter, som anses for at have betydning for cybersikkerheden i EU.
- Produkterne opdeles i:
- Klasse I: Mindre kritiske – kan ofte følge intern kontrol (Modul A), hvis harmoniserede standarder anvendes.
- Klasse II: Mere kritiske – kræver altid tredjepartsvurdering (Modul B+C eller H).
- Klassificeringen har betydning for, hvilken overensstemmelsesprocedure der skal følges.
-
Eksempel: En forbrugerrouter kan være klasse I (med intern kontrol), mens en industriel firewall typisk vil være klasse II (kræver tredjepartsvurdering).
-
Bilag IV – Kritiske produkter
- Er en underkategori af Bilag III, som automatisk betragtes som vigtige produkter i klasse II.
- Disse produkter udgør en særlig risiko, f.eks. for kritisk infrastruktur, og er derfor altid underlagt de strengeste krav:
- Ekstern overensstemmelsesvurdering (aldrig intern kontrol).
- Krav om enten CRA-overensstemmelsesprocedure (Bilag VIII) eller europæisk cybersikkerhedscertificering (ENISA).
Kort sagt:
| Klassificering | Bilag | Klasse | Krav |
|---|---|---|---|
| Almindelige produkter | - | - | Bilag I & II |
| Vigtige produkter | Bilag III | Klasse I | Kan evt. bruge intern kontrol |
| Vigtige produkter | Bilag III | Klasse II | Kræver tredjepartsvurdering |
| Kritiske produkter | Bilag IV | Altid II | Altid tredjepart eller certificering |
Husk: Alle produkter i Bilag IV er også omfattet af Bilag III, men ikke alle Bilag III-produkter er kritiske. Tænk på Bilag IV som "den inderste ring" med de højeste krav.
Nøglepointer for anvendelse
- Bilag I og Bilag II dækker cybersikkerhedskrav og brugerinformation og skal anvendes samlet.
- Bilag III og IV bruges til at klassificere produkter som vigtige eller kritiske – dette afgør proceduren for overensstemmelsesvurdering.
- Bilag V fastsætter skabelonen til EU-overensstemmelseserklæringen, som alle produkter skal ledsages af – uanset klassificering.
- Bilag VII fastsætter kravene til den tekniske dokumentation, som skal fremlægges ved kontrol.
- Bilag VIII beskriver, hvilke overensstemmelsesprocedurer der gælder – afhængigt af produktets klassificering og risikoprofil.
For dybdegående gennemgang af procedurerne og støtte til CE-mærkning, se 08_procedurer_for_overensstemmelse.md