Klassificering af produkter
Cyber Resilience Act (CRA) arbejder med en klassificeringsmodel, der har stor betydning for, hvilken overensstemmelsesprocedure fabrikanten skal følge.
Produkterne deles op i tre hovedkategorier:
| Klassificering | Kategori | Krav |
|---|---|---|
| Almindelige produkter | Ikke klassificeret | Skal opfylde krav i Bilag I og II |
| Vigtige produkter | Bilag III | Klasse I eller II – krav afhænger af klassen |
| Kritiske produkter | Bilag IV | Altid klasse II – strengeste krav |
Hvad er vigtige produkter?
Produkterne i Bilag III anses for at have en øget cybersikkerhedsrisiko og er derfor omfattet af strengere krav:
- Klasse I:
- Lavere risikoprofil
- Kan vurderes ved intern kontrol (Modul A), hvis harmoniserede standarder anvendes
- Klasse II:
- Højere risikoprofil
- Skal vurderes af en tredjepart (Modul B+C eller H)
👉 Klassificeringen afgør altså, hvorvidt fabrikanten må nøjes med selvevaluering, eller skal bruge en ekstern aktør til vurdering.
Eksempler på klassificering
Herunder ses typiske produkter og hvordan de falder ind under CRA's klassificeringsmodel.
| Produkt | Klassificering | Forklaring |
|---|---|---|
| Office-software til PC | Almindeligt produkt | Ikke opført i Bilag III eller IV. Skal opfylde Bilag I og II. |
| Termostat til privat hjem | Almindeligt produkt | Simpel, netværksforbundet enhed – lav risiko. Skal opfylde Bilag I og II. |
| Android-app til personlig brug | Almindeligt produkt | Ikke klassificeret – men skal overholde Bilag I og II, inkl. krav om sårbarhedshåndtering og sikkerhedsopdateringer. |
| Android-app til styring af netværk | Vigtigt produkt – Klasse I | Øget sikkerhedsprofil pga. adgang til netværkskomponenter. Kan vurderes via intern kontrol, hvis standard følges. |
| Smart videoovervågning til hjemmet | Vigtigt produkt – Klasse I | Indgår i netværksmiljø, men ikke kritisk – kan ofte nøjes med Modul A. |
| Router til hjemmet | Vigtigt produkt – Klasse II | Netværksadgang og potentielle sårbarheder – vurderes af tredjepart. |
| Motherboard til PC | Vigtigt produkt – Klasse II | Indeholder firmware og netværksporte – omfattet af Bilag III, med højere risikoprofil. |
📌 Hvad kræver Bilag I og II?
- Bilag I: Ingen kendte sårbarheder ved lancering, sikre standardindstillinger, opdateringer, risikohåndtering.
- Bilag II: Brugsanvisning, kontaktpunkt, info om supportperiode og cybersikkerhedsanvisninger.
Hvad er kritiske produkter?
Produkterne i Bilag IV er en undergruppe af Bilag III, som angiver kritiske produkter – dvs. dem med den højeste cybersikkerhedsrisiko, fx produkter til industriel styring, adgangskontrol eller netværkssikkerhed.
- Er altid klasse II
- Skal opfylde kravene gennem:
- Overensstemmelsesprocedure med tredjepart, eller
- Europæisk cybersikkerhedscertificering (ENISA)
Eksempler – kritiske produkter
| Produkt | Klassificering | Forklaring |
|---|---|---|
| Firewall-appliance til virksomheder | Kritisk produkt | Opført i Bilag IV – højt sikkerhedsniveau kræver ekstern vurdering. |
| VPN-gateway eller netværksproxy | Kritisk produkt | Centralt netværkselement – klassificeret som kritisk. |
| ICS-kontrolenhed i kritisk infrastruktur | Kritisk produkt | Kritisk funktion i fx elnet eller vandforsyning – altid klasse II. |
| Fysisk adgangskontrolsystem til datacenter | Kritisk produkt | Kontrolsystem – klassificeret i Bilag IV, høj risiko ved kompromittering. |
🧠 Selvom alle kritiske produkter også er vigtige produkter, gælder det omvendte ikke. Ikke alle vigtige produkter er kritiske.
Klassificeringens betydning for compliance
Klassificeringen er ikke kun en teknisk formalitet – den har konkret betydning for:
- Valget af overensstemmelsesprocedure (Bilag VIII)
- Omfanget af teknisk dokumentation og testkrav
- Behovet for ekstern vurdering (Notified Body – udpeget vurderingsorgan i EU)
- Sikkerheds- og designkrav under hele livscyklussen
Det er derfor vigtigt, at fabrikanter tidligt i udviklingsfasen vurderer, hvilken klassificering deres produkt falder under, og dokumenterer denne vurdering som en del af den tekniske dokumentation.
📎 Se også: 08_procedurer_for_overensstemmelse.md for en dybdegående beskrivelse af de tilknyttede procedurer.