CRA-volwassenheidszelfevaluatie

1.1Beschikt u over schriftelijke en goedgekeurde productbeveiligingsbeleidslijnen?

1.2Zijn rollen en verantwoordelijkheden voor productbeveiligingsactiviteiten (bijv. ontwikkeling, kwetsbaarhedenbeheer, updates) duidelijk vastgelegd?

1.3Onderhoudt u technische documentatie op productniveau waarin geïmplementeerde beveiligingsfuncties, risicobeoordelingen, ontwerpbeslissingen en updateprocedures worden beschreven?

1.4Is er een proces om productbeveiliging en de kwaliteit van de bijbehorende documentatie regelmatig te herzien?

1.5Bent u op de hoogte van de markttoezichtautoriteit die verantwoordelijk is voor de handhaving van de CRA, de conformiteitsbeoordelingsprocedure die van toepassing is op uw producten, en hoe u indien nodig met de relevante autoriteiten in contact kunt treden?

2.1Voert u cyberbeveiligingsrisicobeoordelingen uit en gebruikt u de resultaten om beslissingen over productontwerp, ontwikkeling, configuratie en componentbeheer te sturen?

2.2Worden producten vanaf het begin ontworpen volgens de beginselen van beveiliging door ontwerp?

2.3Worden producten geleverd met standaard veilige configuraties en instellingen?

2.4Voert u beveiligingscontroles en tests uit voordat een product wordt uitgebracht of bijgewerkt, en in hoeverre worden geautomatiseerde tools gebruikt?

2.5Worden risicobeoordelingen, configuraties en componenten van derden herzien en bijgewerkt wanneer risico's veranderen of nieuwe dreigingen ontstaan?

3.1Beschikt u over een proces om kwetsbaarheden die door klanten, onderzoekers of interne medewerkers worden gemeld, te ontvangen, te bevestigen, te registreren en op te volgen?

3.2Beschikt u over een vastgelegd proces voor het creëren, testen, leveren en communiceren van beveiligingsupdates aan klanten voor ondersteunde producten?

3.3Onderhoudt en gebruikt u een SBOM ter ondersteuning van kwetsbaarheden- en afhankelijkhedenbeheer?

3.4Worden kwetsbaarheden en updates geprioriteerd op basis van risico en potentiële impact?

3.5Verifieert u dat beveiligingsupdates gemelde kwetsbaarheden effectief verhelpen en bewaart u bewijs van deze verificatie?

4.1Is er een vastgelegde aanpak voor het beheren van productbeveiliging tijdens de operationele fase?

4.2Wordt het levenscyclusbeheer van producten actief beheerd, inclusief vastgelegde ondersteuningsperioden, verantwoordelijkheden voor updates, regelingen voor het einde van de levensduur en communicatie met klanten?

4.3Wordt ervaring uit productwerking, evaluaties na incidenten en klantfeedback gebruikt om producten na verloop van tijd te verbeteren?

4.4Is er een gestructureerde en geteste manier om vastgestelde productbeveiligingsproblemen aan te pakken?

4.5Worden producten tijdens de operationele fase gemonitord om beveiligingsrisico's, kwetsbaarheden en opkomende dreigingen te identificeren?

5.1Zijn er voldoende vaardigheden beschikbaar om producten op een veilige manier te ontwerpen, ontwikkelen en onderhouden, indien nodig met externe expertise wanneer de interne capaciteit beperkt is?

5.2Krijgen relevante medewerkers passende training in cyberbeveiligingspraktijken die relevant zijn voor hun rol, inclusief productrisicobeheer, kwetsbaarhedenbeheer en beveiliging door ontwerp?

5.3Bevordert de organisatie een cultuur van verantwoorde productontwikkeling, open melding en bewustzijn van productrisico's?

5.4Volgt u relevante externe informatie over productbeveiliging (bijv. adviezen, waarschuwingen)?

5.5Beoordeelt en valideert u dat uw team over de vereiste vaardigheden en competenties beschikt om veilige producten te onderhouden?