Forordningen om cyberrobusthed (CRA)

Forordningen om cyberrobusthed (Cyber Resilience Act, CRA), formelt forordning (EU) 2024/2847, er EU's samlede cybersikkerhedslovgivning for produkter med digitale elementer. Forordningen blev vedtaget i slutningen af 2024 og indfører horisontale cybersikkerhedskrav til alle hardware- og softwareprodukter, der forbindes til netværk eller andre enheder.

Baggrunden er, at den stigende digitalisering har gjort cybersikkerhedssårbarheder til en systemisk risiko. Usikre produkter åbner for angreb, der kan ramme enkeltbrugere, virksomheder og kritisk infrastruktur.

CRA udfylder et hul i lovgivningen: Mens eksisterende EU-lovgivning, såsom NIS2-direktivet, fokuserer på organisationers cybersikkerhed, stiller CRA krav direkte til produkterne, fra design og fremstilling til opdateringer gennem hele livscyklussen.

Centrale krav i CRA:

• Indbygget sikkerhed: Produkter skal designes med cybersikkerhed som en integreret del, ikke som en tilføjelse
• Sårbarhedshåndtering: Fabrikanter skal have processer til at identificere, dokumentere og afhjælpe sårbarheder i supportperioden, som er på mindst fem år, eller den forventede anvendelsestid, hvis produktet forventes at være i brug i mindre end fem år
• Sikkerhedsopdateringer: Sikkerhedsopdateringer skal leveres gratis i produktets supportperiode. Automatisk installation skal være aktiveret som standard, og brugeren skal kunne fravælge den
• Standardindstillinger: Produkter skal leveres med sikre standardindstillinger, herunder mulighed for at gendanne fabriksindstillingerne
• Rapportering: Aktivt udnyttede sårbarheder og alvorlige hændelser, der har indvirkning på produktets sikkerhed, skal rapporteres til den relevante nationale CSIRT, dvs. enheden for håndtering af IT-sikkerhedshændelser, og ENISA, EU's Agentur for Cybersikkerhed, i flere trin: tidlig varsling inden for 24 timer, meddelelse om sårbarhed eller underretning om en hændelse inden for 72 timer og endelig rapport senest 14 dage efter, at en korrigerende eller afbødende foranstaltning er blevet tilgængelig for en sårbarhed, eller senest en måned efter underretningen for en hændelse
• CE-mærkning: Overholdelse af cybersikkerhedskrav skal indgå i CE-mærkningsprocessen med teknisk dokumentation og EU-overensstemmelseserklæring
• Klassificering: Produkter inddeles i standardkategorien med egenvurdering, vigtige produkter i klasse I og II samt kritiske produkter. De højere klasser har skærpede krav til tredjepartsvurdering

CRA indeholder omfattende sanktionsmuligheder:

• Bøder på op til 15 mio. EUR eller 2,5 % af den globale årlige omsætning, alt efter hvilket beløb der er højest, ved manglende opfyldelse af de væsentlige cybersikkerhedskrav
• Bøder på op til 10 mio. EUR eller 2 % af omsætningen for manglende opfyldelse af visse andre forpligtelser, f.eks. importørers og distributørers forpligtelser og reglerne om CE-mærkning, teknisk dokumentation og overensstemmelsesvurdering
• Bøder på op til 5 mio. EUR eller 1 % af omsætningen for ukorrekte, ufuldstændige eller vildledende oplysninger til bemyndigede organer og markedsovervågningsmyndigheder som svar på en anmodning
• Produkter, der ikke opfylder kravene, kan ikke CE-mærkes og kan derfor ikke lovligt sælges i EU
• Markedsovervågningsmyndighederne kan kræve tilbagetrækning eller tilbagekaldelse
• Overtrædelser af rapporteringsforpligtelserne er omfattet af det samme højeste bødeniveau. Mikrovirksomheder og små virksomheder får ikke bøder for at overskride fristen på 24 timer for den tidlige varsling
• Open source software-forvaltere er ikke omfattet af administrative bøder
• Produkter, der samtidig er omfattet af maskinforordningen eller radioudstyrsdirektivet (RED), skal også opfylde CRA's cybersikkerhedskrav