BĚŽNÝ, DŮLEŽITÝ, NEBO KRITICKÝ?

U každé kategorie je uvedený její technický popis podle prováděcího nařízení (EU) 2025/2392. Že produkt vedle klíčové funkce plní i další funkce, ho z kategorie nevyřazuje (bod 4 odůvodnění téhož nařízení).

Produkt se řídí postupem té kategorie, do které spadá jeho klíčová funkce — u důležitých produktů podle čl. 7 odst. 1, u kritických podle čl. 8 odst. 1. Začlenění komponenty, která by sama do některé kategorie patřila, na zařazení produktu nic nemění (bod 2 odůvodnění prováděcího nařízení 2025/2392). Výrobce ale musí posoudit bezpečnost celého produktu, tedy případně i té začleněné komponenty (bod 3 odůvodnění téhož nařízení).

Tady se rozhoduje mezi třídou I, třídou II a přílohou IV. Třída II je vyhrazená mikroprocesorům a mikrořadičům, které prokazují neoprávněnou manipulaci, odolávají jí nebo na ni reagují a jsou navržené na ochranu úrovně AVA_VAN 2 nebo 3. Zabezpečený prvek navržený alespoň na AVA_VAN 4 patří do přílohy IV. Úrovně AVA_VAN stanoví společná kritéria a společná metodika hodnocení, na které odkazuje čl. 1 prováděcího nařízení 2025/2392.

Zabezpečený prvek je v technickém popisu přílohy IV definovaný právě touhle úrovní. Čip, který manipulaci odolává, ale je navržený jen na úroveň AVA_VAN 2 nebo 3, je mikroprocesorem nebo mikrořadičem odolným proti manipulaci, tedy třída II přílohy III.

První položka přílohy IV je definovaná fyzickou ochranou: obálka musí neoprávněnou manipulaci prokazovat, odolávat jí nebo na ni reagovat jako protiopatření proti fyzickým útokům, a zařízení se skládá z více samostatných součástí.

Popis přílohy IV počítá s tím, že přístroj řídí komunikaci mezi součástmi inteligentního měřicího systému a oprávněnými třetími stranami, sbírá, zpracovává a ukládá naměřená nebo osobní data, chrání je kryptograficky, má vestavěnou funkci firewallu a umožňuje ovládat jiná zařízení.

Software SOAR umí data sbírat, analyzovat a předkládat je stejně jako SIEM, ale jeho klíčová funkce je jiná, takže se obecně nemá za to, že popis kategorie SIEM splňuje (bod 5 odůvodnění prováděcího nařízení 2025/2392).

Do kategorie patří hračky ve smyslu směrnice 2009/48/ES připojené k internetu, které mají buď vestavěné technologie pro příchozí a odchozí komunikaci (klávesnice, mikrofon, reproduktor, kamera), nebo umožňují sledovat či vyhledat polohu hračky či jejího uživatele.

Technický popis kategorie stojí na ochraně fyzické bezpečnosti spotřebitelů v obytných budovách a na možnosti ovládat produkt nebo ho spravovat na dálku z jiných systémů. Patří sem i hardware a software, který takové produkty centrálně řídí.

Na produkty, na které se vztahuje nařízení (EU) 2017/745 o zdravotnických prostředcích nebo nařízení (EU) 2017/746 o diagnostických prostředcích in vitro, se CRA nevztahuje vůbec (čl. 2 odst. 2). Kategorie nositelné elektroniky v příloze III je z tohoto důvodu výslovně omezená na výrobky, na které se tato nařízení nevztahují.

U produktů považovaných za svobodný software s otevřeným zdrojovým kódem, které patří do kategorií přílohy III, lze použít postupy podle čl. 32 odst. 1 — tedy i interní kontrolu modulem A — za předpokladu, že je technická dokumentace podle čl. 31 v okamžiku uvedení na trh zpřístupněná veřejnosti (čl. 32 odst. 5). Na kritické produkty z přílohy IV se tahle možnost nevztahuje.