Produkti ar digitāliem elementiem: CRA klases un novērtēšana

Četras kategorijas vienā skatā

Regulas teksts runā par “nozīmīgiem produktiem ar digitāliem elementiem” (CRA 7. pants un III pielikums) un “kritiski svarīgiem produktiem ar digitāliem elementiem” (8. pants un IV pielikums). Viss pārējais neveido atsevišķu pielikumu, tāpēc praksē to sauc par parasto jeb noklusējuma kategoriju. Angļu valodas tekstos tās sauc par important un critical products, bet latviešu oficiālajā tekstā jālieto “nozīmīgi” un “kritiski svarīgi”, nevis “svarīgi” un “kritiskie”.

CRA produktu kategorijas un atbilstības novērtēšana

Kategorija	Juridiskais pamats	Piemēri no regulas un Komisijas	Kā pierāda atbilstību
Parastā kategorija	32. panta 1. punkts	Atmiņas mikroshēmas, mobilās lietotnes, datorspēles	Jebkura 32. panta 1. punkta procedūra, arī iekšējā kontrole (A modulis)
Nozīmīgi produkti, I klase	7. pants, III pielikums, 32. panta 2. punkts	Operētājsistēmas, pārlūkprogrammas, paroļu pārvaldnieki, VPN, SIEM, maršrutētāji, viedās durvju slēdzenes	A modulis tikai tad, ja pilnībā piemēroti saskaņotie standarti, kopīgās specifikācijas vai ES sertifikācijas shēma (vismaz “būtisks”); citādi B+C vai H modulis
Nozīmīgi produkti, II klase	7. pants, III pielikums, 32. panta 3. punkts	Virtuālo mašīnu pārraugi, konteineru izpildlaika sistēmas, ugunsmūri, IDS/IPS, pret iejaukšanos droši mikroprocesori	B+C vai H modulis vai ES kiberdrošības sertifikācijas shēma vismaz līmenī “būtisks”; iekšējā kontrole nav pieejama
Kritiski svarīgi produkti	8. pants, IV pielikums, 32. panta 4. punkts	Aparatūras ierīces ar drošības blokiem, viedo skaitītāju vārtejas, viedkartes un drošības elementi	ES sertifikācijas shēma, ja to nosaka deleģētais akts; kamēr tāda nav, 32. panta 3. punkta procedūras

Svarīgi saprast, ko klase nemaina. Nozīmīgam vai kritiski svarīgam produktam nav papildu pamatprasību, nav garāka atbalsta perioda un nav atsevišķa ziņošanas režīma. Ziņošanas pienākums par aktīvi izmantotām ievainojamībām un nopietniem incidentiem kopš 2026. gada 11. septembra attiecas uz visiem ražotājiem neatkarīgi no klases, un to atsevišķi aprakstām ceļvedī par CRA ziņošanu.

Klasi nosaka pamatfunkcionalitāte, nevis komponenti

Produktus ar digitāliem elementiem, kuriem ir III pielikumā noteiktās produktu kategorijas pamatfunkcionalitāte, uzskata par nozīmīgiem produktiem ar digitāliem elementiem [..] Tas, ka kādā produktā tiek integrēts produkts ar digitāliem elementiem, kam ir III pielikumā noteiktās produktu kategorijas pamatfunkcionalitāte, pats par sevi nenozīmē, ka uz produktu, kurā tas ir integrēts, attiecas 32. panta 2. un 3. punktā minētās atbilstības novērtēšanas procedūras.

Regulas (ES) 2024/2847 7. panta 1. punkts

Precīzāk to izskaidro Komisijas Īstenošanas regula (ES) 2025/2392 par nozīmīgu un kritiski svarīgu produktu kategoriju tehnisko aprakstu, kas publicēta Oficiālajā Vēstnesī 2025. gada 1. decembrī. Tās I pielikumā katrai III pielikuma kategorijai dots tehniskais apraksts, II pielikumā – IV pielikuma kategorijām. Preambulā ir trīs piemēri, kas noder ikdienas lēmumiem:

• Ziņu lietotne ar iegultu pārlūkprogrammu nekļūst par nozīmīgu produktu tikai tāpēc, ka tajā ir pārlūka komponents. Ražotājam tomēr jāpierāda, ka lietotne kopumā atbilst pamatprasībām, ņemot vērā arī iegultā pārlūka drošību.
• SOAR programmatūra spēj vākt un analizēt drošības datus kā SIEM, bet tās pamatfunkcija nav SIEM funkcija, tāpēc parasti tā neatbilst SIEM kategorijas aprakstam.
• Viedtālrunis satur operētājsistēmu un paroļu pārvaldnieku, tomēr tā pamatfunkcija nav ne viena, ne otra, tāpēc viedtālruni parasti neuzskata par šo kategoriju produktu.

Pretējais arī ir patiess: papildu funkcijas neizslēdz produktu no kategorijas. Operētājsistēma ar iebūvētu kalkulatoru vai vienkāršu grafisko redaktoru joprojām ir operētājsistēma. Komisijas regula uzsver, ka tās piemēri ir ilustratīvi un nav izsmeļoši, tāpēc robežgadījumos lēmums jāpamato ar tehniskā apraksta tekstu un produkta paredzēto nolūku.

Nozīmīgie produkti: I klase

III pielikuma I klasē ir 19 kategorijas. Tās var sagrupēt piecās jomās:

• Identitāte un piekļuve: identitātes pārvaldības sistēmas un privileģētas piekļuves pārvaldības programmatūra un aparatūra, arī autentifikācijas, piekļuves kontroles un biometriskie lasītāji; paroļu pārvaldnieki; publiskās atslēgas infrastruktūra un digitālo sertifikātu izsniegšanas programmatūra.
• Galapunkti un platformas: atsevišķas un iegultas pārlūkprogrammas; ļaunprogrammatūras meklēšanas, dzēšanas un karantīnas programmatūra; palaišanas pārvaldnieki; operētājsistēmas.
• Tīkls: produkti ar VPN funkciju; tīkla pārvaldības sistēmas; SIEM sistēmas; fiziskā un virtuālā tīkla saskarnes; maršrutētāji, internetam paredzēti modemi un slēdži (īstenošanas regulā – komutatori).
• Mikroshēmas: mikroprocesori un mikrokontrolleri ar drošības funkcijām; ASIC un FPGA ar drošības funkcijām.
• Patēriņa ierīces: vispārēja lietojuma viedmāju virtuālie asistenti; viedmāju produkti ar drošības funkcijām, piemēram, vieddurvju slēdzenes, videonovērošanas kameras, bērnu uzraudzības un signalizācijas sistēmas; internetam pieslēgtas rotaļlietas ar sociālām vai atrašanās vietas funkcijām; valkājamas ierīces veselības monitorēšanai vai bērniem, uz kurām neattiecas medicīnisko ierīču regulas.

Kategorija nonāk sarakstā, ja tā atbilst vismaz vienam no 7. panta 2. punkta kritērijiem: produkts galvenokārt pilda citiem produktiem, tīkliem vai pakalpojumiem kritiski svarīgas kiberdrošības funkcijas (autentifikācija, ielaušanās novēršana, galapunktu vai tīkla aizsardzība), vai arī tā funkcija var plaši traucēt, kontrolēt vai kaitēt daudziem citiem produktiem vai lietotāju veselībai un drošībai. Komisija drīkst sarakstu grozīt ar deleģētu aktu, un, ja kategoriju pievieno vai pārceļ uz II klasi, parasti paredz vismaz 12 mēnešu pārejas periodu (7. panta 3. punkts).

Nozīmīgie produkti: II klase

II klasē ir tikai četras kategorijas, bet tās attiecas uz infrastruktūras kodolu: virtuālo mašīnu pārraugi un konteineru izpildlaika sistēmas, kas atbalsta virtualizētu izpildi; ugunsmūri, ielaušanās atklāšanas un novēršanas sistēmas; pret iejaukšanos droši mikroprocesori un mikrokontrolleri. Īstenošanas regula ugunsmūru kategorijā skaidri ietver arī tīmekļa lietojumprogrammu ugunsmūrus un surogātpasta vārtejas, bet virtuālo mašīnu pārraugu kategorijā – 1. un 2. tipa un hibrīdos pārraugus.

II klases produktam ražotāja paša veikta iekšējā kontrole nav atļauta pat tad, ja piemēroti visi saskaņotie standarti. Tas nozīmē līgumu ar paziņoto struktūru vai ES kiberdrošības sertifikātu vismaz apliecinājuma līmenī “būtisks”. Plānojiet to laikā: paziņoto struktūru paziņošanas noteikumi (IV nodaļa) piemērojami kopš 2026. gada 11. jūnija, un Komisija savā lapā norāda, ka paziņotās struktūras tiks publicētas NANDO datubāzē.

Kritiski svarīgie produkti

IV pielikumā ir trīs kategorijas: aparatūras ierīces ar drošības blokiem; viedo skaitītāju vārtejas viedās uzskaites sistēmās un citas ierīces augstas drošības nolūkiem, tostarp drošai kriptoapstrādei; viedkartes vai līdzīgas ierīces, ieskaitot to drošības elementus. Īstenošanas regula šīs kategorijas nošķir no II klases mikroprocesoriem pēc noturības pret uzbrukumiem, izmantojot vienoto kritēriju AVA_VAN līmeni.

Šiem produktiem 8. panta 1. punkts ļauj Komisijai ar deleģētu aktu noteikt obligātu Eiropas kiberdrošības sertifikātu vismaz līmenī “būtisks”. Kamēr šāds akts nav pieņemts, piemēro 32. panta 3. punkta procedūras, tātad tās pašas, kas II klasei. EUR-Lex CRA metadatos 2026. gada 23. oktobrī kā regulu papildinoši akti norādītas tikai Deleģētās regulas (ES) 2025/1535 un (ES) 2026/881, un neviena no tām nenosaka 8. panta sertifikācijas pienākumu. Par Kiberdrošības akta sertifikācijas shēmām, tostarp EUCC, skatiet ceļvedi par Kiberdrošības aktu un sertifikāciju.

Atbilstības novērtēšanas ceļi

CRA 32. pants un VIII pielikums piedāvā četrus ceļus. Tie nav kvalitātes pakāpes, bet dažādi pierādīšanas modeļi:

• A modulis – iekšējā kontrole. Ražotājs pats novērtē produktu un procesus, sagatavo tehnisko dokumentāciju un ES atbilstības deklarāciju. Paziņotā struktūra nepiedalās.
• B+C modulis – ES tipa pārbaude un atbilstība tipam. Paziņotā struktūra pārbauda produkta tehnisko projektu un izstrādi, kā arī ražotāja ievainojamību novēršanas procesus; pēc tam ražotājs nodrošina, ka ražotie eksemplāri atbilst apstiprinātajam tipam.
• H modulis – visaptveroša kvalitātes nodrošināšana. Paziņotā struktūra novērtē un uzrauga ražotāja kvalitātes sistēmu, kas aptver projektēšanu, izstrādi, galīgo pārbaudi un testēšanu, kā arī ievainojamību novēršanu. Praksē to izvēlas ražotāji ar nobriedušu kvalitātes sistēmu un daudziem līdzīgiem produktiem.
• Eiropas kiberdrošības sertifikācijas shēma saskaņā ar Kiberdrošības aktu (Regula (ES) 2019/881), ja tā ir pieejama un piemērojama atbilstoši CRA 27. panta 9. punktam.

I klasē izšķirošs ir saskaņoto standartu jautājums. Ja ražotājs pilnībā piemēro saskaņotos standartus, uz kuriem atsauces publicētas Oficiālajā Vēstnesī, kopīgās specifikācijas vai piemērotu ES sertifikācijas shēmu, viņš drīkst izmantot jebkuru 32. panta 1. punkta procedūru, arī A moduli. Ja standartus piemēro daļēji vai to vēl nav, I klases produktam jāiet B+C vai H ceļš. Saskaņoto standartu statusu šis ceļvedis neapgalvo: pirms izvēles pārbaudiet aktuālās atsauces Oficiālajā Vēstnesī.

Lēmumu tabula: kā klasificēt savu produktu

1. Vai tas vispār ir produkts ar digitāliem elementiem CRA tvērumā? Pārbaudiet 2. panta izņēmumus (piemēram, produkti, uz kuriem attiecas medicīnisko ierīču vai transportlīdzekļu regulējums) un to, vai produktu dara pieejamu tirgū komercdarbības gaitā. Pamatus skaidro Kibernoturības akta ceļvedis.
2. Aprakstiet pamatfunkciju vienā teikumā. Ne funkciju sarakstu, bet to, kāpēc klients produktu pērk. Šis teikums būs jūsu klasifikācijas pamatojuma sākums.
3. Salīdziniet ar IV pielikumu un Īstenošanas regulas (ES) 2025/2392 II pielikumu. Ja pamatfunkcija atbilst, produkts ir kritiski svarīgs.
4. Salīdziniet ar III pielikumu un Īstenošanas regulas I pielikumu – vispirms ar II klasi, tad ar I klasi. Lietojiet tehniskā apraksta tekstu, nevis tikai kategorijas nosaukumu.
5. Ja nekas neatbilst, produkts ir parastajā kategorijā. Integrētie nozīmīgie komponenti klasi nemaina, bet to drošība jāietver jūsu riska novērtējumā.
6. Dokumentējiet lēmumu tehniskajā dokumentācijā: kategorija, apraksta punkts, kāpēc citas kategorijas neatbilst, datums un atbildīgais. Tirgus uzraudzības iestāde to vērtēs pirmo.

Klasifikācijas piemēri (ilustratīvi, ne juridisks atzinums)

Produkts	Pamatfunkcija	Iespējamā klase	Ko pārbaudīt
Biroja Wi-Fi maršrutētājs ar iebūvētu ugunsmūri	Maršrutēšana un savienojums ar internetu	I klase (maršrutētāji)	Vai ugunsmūris ir pamatfunkcija vai papildfunkcija; ja produktu pozicionē un pārdod kā ugunsmūri, vērtējiet II klasi
Tīkla ugunsmūra iekārta vai WAF programmatūra	Datu plūsmas uzraudzība un ierobežošana	II klase	Paziņotā struktūra vai ES sertifikāts jāieplāno budžetā un grafikā
Vieddurvju slēdzene ar mobilo lietotni	Fiziskās piekļuves kontrole mājoklī	I klase (viedmāju produkti ar drošības funkcijām)	Lietotne un mākoņa daļa ietilpst produkta riska novērtējumā
Paroļu pārvaldnieks kā pārlūka paplašinājums	Paroļu glabāšana un ievadīšana	I klase (paroļu pārvaldnieki)	Saskaņoto standartu pilnīga piemērošana izšķir, vai pietiek ar A moduli
Rūpnieciska temperatūras sensoru vārteja	Datu vākšana un pārsūtīšana	Parastā kategorija	Vai tā nav viedo skaitītāju vārteja IV pielikuma nozīmē
Maksājumu viedkarte ar drošības elementu	Droša identitāte un kriptoapstrāde	Kritiski svarīgs produkts	Sekojiet, vai Komisija pieņem 8. panta 1. punkta deleģēto aktu

Termiņi, kas ietekmē klases izvēli

Saskaņā ar CRA 71. panta 2. punktu regula pilnībā piemērojama no 2027. gada 11. decembra, tātad no šīs dienas tirgū laistiem produktiem jābūt izgājušiem atbilstības novērtēšanu. Divi pienākumu kopumi sākās agrāk: IV nodaļa par atbilstības novērtēšanas struktūru paziņošanu – no 2026. gada 11. jūnija, un 14. panta ziņošanas pienākumi – no 2026. gada 11. septembra. Visus datumus vienkopus redzēsiet ES termiņu laika līnijā.

Praktiski tas nozīmē, ka II klases un kritiski svarīgo produktu ražotājiem 2026. un 2027. gads ir laiks, kad jāizvēlas paziņotā struktūra, jāsagatavo tehniskā dokumentācija un jāiziet tipa pārbaude vai kvalitātes sistēmas novērtējums. Paziņoto struktūru skaits nav neierobežots, un regulas preambula pati aicina dalībvalstis nodrošināt, lai to līdz piemērošanas dienai būtu pietiekami.

Mazajiem uzņēmumiem un atvērtajam pirmkodam

Mikrouzņēmumi un mazie uzņēmumi tehnisko dokumentāciju drīkst iesniegt vienkāršotā formātā, kuru Komisija nosaka ar īstenošanas aktu, un paziņotajām struktūrām šis formāts jāpieņem (33. panta 5. punkts). Klases tas nemaina: mazam uzņēmumam, kas ražo II klases ugunsmūri, joprojām vajag trešās puses novērtējumu. Regulas preambula arī paredz, ka atbilstības novērtēšanas struktūras, nosakot maksu, ņem vērā mazo un vidējo uzņēmumu intereses.

Brīvi pieejamai un atvērtā pirmkoda programmatūrai, kas ietilpst III pielikuma kategorijās, 32. panta 5. punkts ļauj izmantot jebkuru 1. punkta procedūru, arī iekšējo kontroli, ja tehniskā dokumentācija tirgū laišanas brīdī ir publiski pieejama. Šis atvieglojums attiecas uz ražotāju, kas šādu programmatūru dara pieejamu komercdarbības gaitā, nevis uz programmatūras pārziņiem, kuriem ir atsevišķs režīms.

Kas jādara tagad

1. Sastādiet visu produktu un versiju sarakstu, kurus plānojat laist tirgū pēc 2027. gada 11. decembra, un katram uzrakstiet pamatfunkcijas teikumu.
2. Klasificējiet katru produktu pēc lēmumu tabulas un saglabājiet pamatojumu. Robežgadījumus pārskatiet ar juristu vai tirgus uzraudzības iestādi.
3. I klasei izlemiet, vai balstīsieties uz saskaņotajiem standartiem (un A moduli) vai uzreiz plānosiet B+C vai H moduli.
4. II klasei un kritiski svarīgiem produktiem sāciet sarunas ar paziņotajām struktūrām un iekļaujiet novērtējumu izlaides grafikā.
5. Neatkarīgi no klases ieviesiet ievainojamību novēršanas procesu un ziņošanu, jo tās jau tagad ir obligātas.

Ja vajadzīgs neatkarīgs skats uz produkta arhitektūru, uzbrukuma virsmu un pierādījumiem pirms paziņotās struktūras audita, OffSeq produktu drošības novērtējums palīdz sagatavot tehnisko dokumentāciju un atrast nepilnības, kamēr tās vēl ir lēti labot. Ja neesat pārliecināts, vai Kibernoturības akts uz jums attiecas vispār, sāciet ar regulējuma navigatoru. Šis ceļvedis sniedz informāciju, nevis juridisku konsultāciju.