Klasyfikacja produktów CRA według rozporządzenia (UE) 2025/2392

Klasyfikacja produktów CRA – cztery grupy w skrócie

Najpierw trzeba potwierdzić, że rozwiązanie jest produktem z elementami cyfrowymi objętym CRA. Dopiero potem porównuje się podstawową funkcjonalność całego produktu z kategoriami w załącznikach III i IV oraz ich technicznymi opisami w rozporządzeniu wykonawczym (UE) 2025/2392.

Klasyfikacja nie jest punktową oceną ryzyka ani rankingiem jakości zabezpieczeń. Wszystkie produkty w zakresie CRA podlegają zasadniczym wymaganiom cyberbezpieczeństwa, ocenie ryzyka i obowiązkom producenta; kategoria zmienia przede wszystkim ścieżkę wykazania zgodności.

Default products – produkty domyślne CRA

„Default” to użyteczne określenie rynkowe, a nie nazwa osobnego załącznika CRA. Obejmuje produkty z elementami cyfrowymi pozostające w zakresie rozporządzenia, których podstawowa funkcjonalność nie odpowiada kategoriom ważnym z Annex III ani krytycznym z Annex IV.

Komisja jako przykłady wskazuje m.in. układy pamięci, aplikacje mobilne, inteligentne głośniki i gry komputerowe. Nazwa produktu nie przesądza jednak wyniku: trzeba sprawdzić jego intended purpose, reasonably foreseeable use, funkcje podstawowe oraz techniczny opis kategorii.

Important Class I – ważne produkty klasy I

Class I obejmuje pierwszą część Annex III. Są to m.in. systemy zarządzania tożsamością i uprzywilejowanym dostępem, przeglądarki, menedżery haseł, oprogramowanie antymalware, VPN, systemy zarządzania siecią, SIEM, systemy operacyjne, routery, modemy internetowe i przełączniki.

Do klasy I należą również określone komponenty sprzętowe z funkcjami bezpieczeństwa, wybrane produkty smart home, połączone zabawki oraz niektóre urządzenia ubieralne. Zawsze liczy się pełny techniczny opis i podstawowa funkcjonalność produktu, nie samo wystąpienie podobnej funkcji.

Important Class II – ważne produkty klasy II

Class II to druga część Annex III. Obejmuje hypervisory i systemy uruchamiania kontenerów, firewalle, systemy wykrywania włamań i zapobiegania włamaniom oraz odporne na manipulacje mikroprocesory i mikrokontrolery spełniające właściwy opis techniczny.

Dla produktów Class II sama wewnętrzna kontrola produkcji nie jest standardową ścieżką z art. 32 ust. 3. Producent korzysta z badania typu UE połączonego z kontrolą produkcji, pełnego zapewnienia jakości albo — gdy jest dostępny i ma zastosowanie — odpowiedniego europejskiego programu certyfikacji cyberbezpieczeństwa.

Critical products – produkty krytyczne CRA

Annex IV wymienia trzy grupy produktów krytycznych: urządzenia sprzętowe z security boxes, bramki inteligentnych liczników i inne urządzenia do zaawansowanych celów bezpieczeństwa, w tym bezpiecznego kryptoprzetwarzania, oraz smartcards i podobne urządzenia, w tym secure elements.

Techniczny opis obejmuje przykładowo fizyczne terminale płatnicze lub hardware security modules, jeżeli spełniają cechy urządzenia z fizyczną ochroną przed manipulacją. W grupie smartcards i secure elements mogą znaleźć się m.in. TPM, karty płatnicze, karty dostępu lub kwalifikowane karty podpisu — pod warunkiem zgodności z pełnym opisem technicznym.

Annex III – important Class I i Class II

Załącznik III do CRA zawiera wykaz kategorii ważnych produktów podzielonych na Class I i Class II. Rozporządzenie wykonawcze (UE) 2025/2392 rozwija każdą kategorię o opis techniczny i przykłady. Analiza powinna zestawić ten opis z funkcjami produktu jako całości.

Wbudowany komponent nie klasyfikuje automatycznie produktu końcowego. Przykładowo przeglądarka osadzona w aplikacji informacyjnej nie czyni automatycznie całej aplikacji przeglądarką, a system operacyjny lub menedżer haseł w smartfonie nie przesądza sam w sobie o klasyfikacji smartfona.

Annex IV – critical products

Załącznik IV wskazuje kategorie critical products. Ich techniczne opisy znajdują się w Annex II rozporządzenia wykonawczego (UE) 2025/2392. Sam marketingowy zwrot „produkt krytyczny” albo użycie rozwiązania w ważnej organizacji nie wystarcza do przypisania produktu do Annex IV.

Ocena powinna wskazać dokładną pozycję załącznika, spełnione elementy opisu technicznego, funkcję podstawową produktu i dowody projektowe. Przykłady w akcie wykonawczym są ilustracyjne, a nie wyczerpujące.

Co zmienia klasyfikacja produktu CRA?

Najbardziej bezpośrednim skutkiem jest wybór procedury oceny zgodności na podstawie art. 32 i Annex VIII. Wraz z przejściem od default do Class I, Class II i critical maleje możliwość oparcia całej procedury wyłącznie na wewnętrznej kontroli producenta.

Klasyfikacja nie zwalnia żadnej kategorii z zasadniczych wymagań Annex I. Producent nadal musi przeprowadzić cybersecurity risk assessment, zabezpieczać produkt w cyklu życia, obsługiwać podatności, utrzymywać dokumentację techniczną oraz wykazać spełnienie właściwych wymagań.

• ustala dostępne moduły oceny zgodności i możliwy udział jednostki notyfikowanej
• wpływa na sposób planowania testów, assurance i zewnętrznych dowodów
• wymaga zapisania mapowania funkcji podstawowej do konkretnej pozycji Annex III lub IV
• nie zastępuje analizy zakresu, oceny ryzyka ani przepisów sektorowych

Kiedy możliwy jest self-assessment?

Dla produktów default co do zasady dostępna jest procedura wewnętrznej kontroli produkcji oparta na module A. Producent sam sporządza dokumentację techniczną, zapewnia zgodność projektu, rozwoju, produkcji i vulnerability handling oraz bierze odpowiedzialność za deklarację zgodności.

Dla important Class I self-assessment może pozostać dostępny tylko w zakresie, w którym producent w pełni zastosował właściwe normy zharmonizowane, wspólne specyfikacje lub kwalifikujący się europejski program certyfikacji, zgodnie z warunkami art. 32 ust. 2. Częściowe zastosowanie, brak właściwego instrumentu albo brak pokrycia wymagań prowadzi dla tych wymagań do procedury B+C lub H.

Status norm, wspólnych specyfikacji i programów certyfikacji trzeba potwierdzić na dzień wyboru procedury. Final draft lub materiał konsultacyjny nie jest automatycznie normą zharmonizowaną i nie otwiera samodzielnie ścieżki samoceny.

Kiedy potrzebna jest third-party conformity assessment?

Dla important Class I udział strony trzeciej jest potrzebny w zakresie wskazanym w art. 32 ust. 2, gdy producent nie zastosował w pełni właściwych norm zharmonizowanych, wspólnych specyfikacji lub kwalifikującego programu certyfikacji albo gdy takie instrumenty nie istnieją.

Important Class II wymaga procedury B+C albo H, chyba że można skorzystać z dostępnego i mającego zastosowanie europejskiego programu certyfikacji na wymaganych warunkach. Dla critical zastosowanie ma program certyfikacji określony zgodnie z art. 8 ust. 1, a gdy jego warunki nie są spełnione — procedury przewidziane dla Class II.

Moduł B oznacza badanie typu UE, po którym następuje moduł C — zgodność z typem oparta na wewnętrznej kontroli produkcji. Moduł H opiera się na pełnym zapewnieniu jakości. Dokładną ścieżkę należy potwierdzić dla konkretnego produktu i aktualnego stanu instrumentów prawnych.

Konkretne przykłady klasyfikacji produktów CRA

Klasyfikacja produktów CRA – najczęstsze pytania