Forordningen om cyberrobusthed, klaret.
Hvis du bringer et produkt med digitale elementer i omsætning på EU-markedet, gælder CRA for dig. Reglyze vurderer din overensstemmelse i et klart sprog og genererer din tekniske dokumentation efter bilag VII og din EU-overensstemmelseserklæring: de fleste produkter selvcertificeres efter modul A.
Se det i praksis: fra produkt til underskrevet erklæring
En gennemgang på to minutter: afgræns et produkt, gennemfør selvevalueringen i klart sprog, og generer den tekniske dokumentation efter bilag VII og EU-overensstemmelseserklæringen.
Fra »gælder det for os?« til en underskrevet erklæring
1 · Afgræns og klassificér
Fire spørgsmål viser, om CRA gælder, hvilken klasse efter bilag III/IV dit produkt har, og hvilken overensstemmelsesprocedure du skal følge. Gratis, uden konto.
2 · Selvevaluering
Besvar ca. 20 enkle spørgsmål om dit produkt. Assistenten foreslår en modenhed fra 0 til 3 for hvert væsentligt krav (bilag I), forankret i IEC 62443.
3 · Generer dossieret
Teknisk dokumentation efter bilag VII og din EU-overensstemmelseserklæring: samlet ud fra dine svar, med din SBOM og på dit sprog.
Det får du
- Teknisk dokumentation efter bilag VII
- EU-overensstemmelseserklæring (låst, indtil alle krav er opfyldt)
- Gapanalyse efter bilag I med de åbne punkter, der skal lukkes
- Indlæsning af SBOM (CycloneDX / SPDX), opført i den tekniske dokumentation
Grundlag: IEC 62443-4-1 (sikker udvikling) og 62443-4-2 (komponentkrav). CRA-teksten er offentlig EU-ret; IEC-henvisningerne er omskrevet og aldrig gengivet ordret.
Priser
CRA prissættes separat fra NIS2-platformen.
Forordningen om cyberrobusthed: ofte stillede spørgsmål
Gælder EU's forordning om cyberrobusthed (CRA) for mit produkt?
CRA gælder for ethvert produkt med digitale elementer, dvs. hardware med software eller firmware og selvstændig software, der gøres tilgængeligt på EU-markedet. Hvis du bringer en tilsluttet enhed, et IoT-produkt eller software, der kan installeres, i omsætning på EU-markedet, er du omfattet. Reglyzes gratis omfangstjek bekræfter det med fire spørgsmål.
Hvornår træder forordningen om cyberrobusthed i kraft?
To datoer er vigtige: forpligtelserne til at indberette sårbarheder og hændelser finder anvendelse fra den 11. september 2026, og fuld overensstemmelse, herunder CE-mærkning, kræves fra den 11. december 2027. CRA er forordning (EU) 2024/2847.
Hvad er selvevaluering efter modul A i CRA?
Modul A er den overensstemmelsesprocedure, hvor fabrikanten selv vurderer produktet i forhold til de væsentlige krav og selv udsteder sin EU-overensstemmelseserklæring uden et bemyndiget organ. Omkring 90 % af produkterne, standardklassen, kan anvende modul A.
Skal jeg bruge et bemyndiget organ efter CRA?
Kun for »vigtige« produkter i klasse II og »kritiske« produkter (CRA bilag III, klasse II, og bilag IV). Standardprodukter og de fleste »vigtige« produkter i klasse I kan selvcertificeres efter modul A, især når harmoniserede standarder anvendes.
Hvad er den tekniske dokumentation efter bilag VII?
Bilag VII opregner den tekniske dokumentation, som en fabrikant skal udarbejde og holde tilgængelig for markedsovervågningsmyndighederne: produktbeskrivelse, risikovurdering, dokumentation for opfyldelsen af de væsentlige krav og softwarekomponentlisten (SBOM). Reglyze samler den ud fra din selvevaluering.
Hvad er en EU-overensstemmelseserklæring efter CRA?
Det er den underskrevne erklæring om, at dit produkt opfylder CRA's væsentlige cybersikkerhedskrav. Den er obligatorisk før CE-mærkning og før produktet bringes i omsætning. Reglyze udsteder den, når alle væsentlige krav er opfyldt.
Hvilke produkter er »vigtige« eller »kritiske« efter CRA?
CRA bilag III opregner »vigtige« produkter (klasse I og II), f.eks. adgangskodeadministratorer, VPN'er, firewalls og operativsystemer; bilag IV opregner »kritiske« produkter, f.eks. gateways til intelligente målere og sikre elementer. Alt, der ikke er opført, hører til standardklassen og selvcertificeres efter modul A.
Hvilke sanktioner gælder ved manglende overholdelse af CRA?
Overtrædelser af de væsentlige cybersikkerhedskrav og fabrikanternes centrale forpligtelser kan straffes med bøder på op til 15 mio. EUR eller 2,5 % af den samlede globale årsomsætning, alt efter hvilket beløb der er højest, ud over mulige påbud om tilbagetrækning fra markedet. Lavere niveauer gælder for andre overtrædelser.
Hvordan adskiller CRA sig fra NIS2?
NIS2 regulerer organisationers cybersikkerhed (væsentlige og vigtige enheder); CRA regulerer cybersikkerheden i produkter med digitale elementer, der bringes i omsætning på EU-markedet. En fabrikant kan være omfattet af begge: NIS2 for den måde, den driver virksomhed på, CRA for det, den leverer.
Omfatter CRA software og open source?
Ja. Selvstændig software er et produkt med digitale elementer. Open source-software, der leveres som led i en kommerciel aktivitet, er omfattet, med lettere forpligtelser for ikkekommercielle open source-software-forvaltere. Selvstændig hostet SaaS falder generelt uden for CRA, medmindre det er en løsning til fjerndatabehandling, der er en integreret del af et produkt.