CRA Klasse I Compliance-gids: routers, modems en switches

Classificatiebasis

De CRA behandelt routers, internetmodems en switches als belangrijke Klasse I-producten, en dat is niet hetzelfde als de Klasse II-status van een firewall. Extra beveiligingsfuncties verschuiven een router niet naar Klasse II zolang routing en internetconnectiviteit de hoofdfunctie in de markt blijven.

Het product is niet Kritiek alleen omdat het op de netwerkrand zit. De lijst Kritiek is smaller en omvat geen consumentenrouters of ISP-CPE als geheel.

Wat geldt als het routerproduct?

Een router-, modem- of switchproduct kan meer omvatten dan de plastic doos:

• bootloader, besturingssysteem, kernel, draadloze drivers, WAN-stack en LAN-diensten;
• modem, ONT, Ethernet-switchsilicium, gedrag van management-VLAN en PoE-control waar aanwezig;
• web-admin-UI, mobiele app-pairing en lokaal setup-portaal;
• TR-069, USP/TR-369 of ander remote-managementkanaal;
• leveranciers- of ISP-cloud voor remote toegang, parental controls, telemetrie, mesh-coördinatie of update-orchestratie;
• firmware-updatedienst, signeersleutels, recovery-image en supportproces.

Het bewijsdossier legt ook vast wat buiten het product valt: het ISP-account van de klant, smart-home-apparaten van derden, door de klant geschreven netwerkregels, de modem van de gebruiker wanneer apart verkocht, en downstream-operatorsystemen die de fabrikant niet levert.

Welke conformiteitsroute moet de fabrikant plannen?

Belangrijk Klasse I betekent niet automatisch dat elke router beoordeling door een derde partij nodig heeft, maar interne controle mag niet als vanzelfsprekend gelden. Kan de fabrikant de algemene interne-controleroute gebruiken en heeft hij de relevante geharmoniseerde normen, gemeenschappelijke specificaties of een passend Europees cyberbeveiligingscertificeringsschema op assurancelevel minstens substantieel volledig toegepast voor de toepasselijke essentiële vereisten, dan is die route beschikbaar. Bestaan die referenties niet, zijn ze slechts deels toegepast, niet toegepast of dekken ze niet alle relevante eisen, plan dan EU-typeonderzoek plus interne productiecontrole of volledige kwaliteitsborging. De mechaniek van de algemene route en wat de EU-conformiteitsverklaring moet bevatten, staat in de conformiteitsbeoordeling- en conformiteitsverklaring-gidsen; deze pagina behandelt alleen de routerspecifieke keuze.

Wordt dezelfde hardwarevariant ook als firewall, VPN-gateway, netwerkbeheerappliance of managed security-platform verkocht, schrijf dan een aparte classificatiememo voor die SKU.

Hoe sluit de RED-cybersecuritydeadline aan op de CRA?

De meeste routers en op het internet aangesloten modems bevatten een radio (Wi-Fi, een cellulaire modem of vergelijkbaar), en die subset met radio is al door één cybersecuritypoort gegaan voordat de CRA komt. Vanaf 1 augustus 2025 gelden de cybersecurityvereisten van de Radioapparatuurrichtlijn (RED Artikel 3.3 punten d, e en f, ingevuld door Gedelegeerde verordening (EU) 2022/30) voor op het internet aangesloten radioapparatuur zoals Wi-Fi-routers, mesh-knooppunten, modem-routers en cellulaire gateways. Een puur bedraad apparaat, zoals een Ethernet-only-router of een kale DSL-, kabel- of glasvezelmodem zonder radio, valt buiten het cyber-toepassingsgebied van RED, maar elk van die apparaten is nog steeds een product met digitale elementen onder de CRA. CRA-meldverplichtingen starten op 11 september 2026 en de CRA wordt volledig van toepassing op 11 december 2027. Op dezelfde datum treedt de intrekking van de RED-cybersecuritygedelegeerde verordening door Gedelegeerde verordening (EU) 2026/339 in werking, zodat beide regimes niet overlappen.

Voor een routerfabrikant is de praktische lezing:

• Tussen 1 augustus 2025 en 10 december 2027 voldoet de toepasselijke radioapparatuur aan de cybersecurityvereisten van RED; de geharmoniseerde route loopt via de EN 18031-serie, met ETSI EN 303 645 als consumentenbasislijn waarop die voortbouwt.
• Vanaf 11 december 2027 vallen dezelfde cybersecurityverplichtingen onder de CRA, met de bredere levenscyclusverplichtingen: veilige standaardconfiguratie, het proces voor kwetsbaarheidsafhandeling, de verklaring over de ondersteuningsperiode en de meldverplichtingen die al starten op 11 september 2026.
• Een router die vóór 11 december 2027 op de markt is aangeboden, valt alleen onder de CRA als hij na die datum ingrijpend wordt gewijzigd. De enige uitzondering is de meldverplichting, die geldt voor elk product binnen het toepassingsgebied, inclusief reeds verkochte eenheden.
• De routerspecifieke geharmoniseerde CRA-norm in voorbereiding is ETSI EN 304 627 (Routers, Modems en Switches), die aansluit op Klasse I punt 12 en de essentiële cybersecurityvereisten. Het is nog een concept, dus plan de conformiteitsroute op de normen die op dat moment werkelijk worden geciteerd, en hergebruik de controles die voor RED zijn gebouwd (veilige standaardinstellingen, gesigneerde updates, toegangscontrole) als basis voor het CRA-dossier in plaats van een afzonderlijk project te starten.

Welk bewijs moet klaarliggen?

Welke routerarchitectuurdetails mogen niet ontbreken?

Routerbewijs moet het feitelijke edge-apparaat volgen dat wordt geleverd. Een retail-Wi-Fi-router, ISP-modem-router, PON-ONT, kabelmodem, mobiele hotspot, mesh-knooppunt en managed switch hebben verschillende WAN-blootstelling, remote-managementrisico's en firmware-branchrisico's.

De WAN-zijde is waar het apparaat voor het eerst onvertrouwde input verwerkt, en die zijde verandert met de toegangstechnologie. Een retail-Ethernet-WAN-router, een kabelmodem-router, een glasvezel-ONT en een cellulaire hotspot delen niet hetzelfde provisioningkanaal of dezelfde upstream-peer.

Hoe ziet een echt dreigingsmodel voor een router eruit?

Gebruik dit als voorbeeld van de diepgang die in een productdossier wordt verwacht. De fabrikant moet de beoordeling nog steeds uitvoeren tegen de echte router, modemchipset, draadloze stack, remote-managementkanaal, leveranciers-SDK's, update-eigenaarschap, verkoopclaims en belofte over de ondersteuningsperiode.

Voorbeeldproductprofiel

Voorbeeldproduct: ExampleCo HomeRouter R1, een Wi-Fi 7-home-router die in de EU via retail- en ISP-white-label-kanalen wordt verkocht. Hij heeft Ethernet-WAN, vier LAN-poorten, gast-Wi-Fi, een lokale web-admin-UI, mobiele-app-onboarding, optioneel ISP-remote-management, gesigneerde OTA-firmware, automatische update-checks, DNS/DHCP-diensten, parental-control-profielen en een recovery-image.

De productgrens omvat de routerhardware, bootloader, kernel, Wi-Fi-drivers, WAN-diensten, LAN-diensten, firewall-defaults, lokale web-UI, mobiele-app-pairing, leverancierscloud voor remote toegang, optionele ISP-remote-management-agent, OTA-dienst, recovery-image, supportwebsite, gecoördineerde-openbaarmaking-intake en adviesproces. Erbuiten vallen de modem van de klant wanneer apart verkocht, het ISP-abonnement, smart-home-apparaten van derden, de identity provider van de gebruiker en downstream-ISP-OSS/BSS-systemen tenzij dezelfde marktdeelnemer die als onderdeel van het product levert.

Releasepoort: firmware-engineering beheert de eerste-boot-baseline, productbeveiliging beheert de blootstellingstest en support beheert het reset- en RMA-bewijs. Artifact: provisioningrecord, post-setup-blootstellingsscan, downgrade-weigeringstest en transfer- of unbind-resultaat.

Asset-inventaris

Vertrouwensgrenzen

Dreigingsscenario's

Initieel risicoregister

Koppeling van maatregelen en bewijs

Restrisico na maatregelen

Hoe moeten ondersteuning, updates en rapportage werken?

Voor het HomeRouter R1-voorbeeld moet het praktische CRA-dossier het operationele model voor de ondersteuningsperiode bevatten, niet alleen het pre-marktrelease-bewijs.

Welke validatiepoorten lopen vóór release?

Een routerrelease mag niet slagen op een blanco-notitie "security gereviewd". Lijst de specifieke beslissingen die de levering kunnen tegenhouden, en geef elk de fout die ze bewaakt, de controle die ze sluit en het artefact dat bewijst dat de controle daadwerkelijk loopt.

Wie beheert routerontwikkeling van concept tot support?

Het eigenaarschap van een routerrelease wisselt naarmate het van productdefinitie naar een vloot in huizen van klanten en op ISP-netwerken gaat. De rail hieronder geeft elke fase één verantwoordelijke lead, het record dat die lead actueel houdt en de poort die moet sluiten voor de volgende fase begint.

Elke overgang is een bevriespunt: de grens wordt vastgezet voordat architectuur start, de ontwerpintentie voor code, de build voor verificatie en de release voor levering. Daarna wordt de firmware tijdens het supportvenster operationeel gehouden. Een kwetsbaarheidsmelding, een ISP- of leveranciersadvies of een veldfout heropent de volgende grensmemo, dreigingslijst en componenteninventaris in plaats van de al verzonden versie.

Welke bewijsrecords horen in het dossier?

Het dossier moet een reviewer in staat stellen de routerbeslissing te volgen van productidentiteit tot beveiligingscontroles. Elke rij wijst naar een onderhouden record, niet naar een map met losse screenshots.

Wat hoort in een router-componenteninventaris?

De CRA vereist een machineleesbare componenteninventaris die de componenten van het product identificeert en minstens top-level afhankelijkheden dekt, zonder al één vast formaat te noemen. Routerfabrikanten kiezen normaal gesproken CycloneDX of SPDX. De productoverstijgende uitleg over de mechaniek staat in de aparte SBOM-gids; deze sectie behandelt de routerspecifieke boom.

Een routerrelease levert meerdere digitale elementen met eigen updatecycli, niet één binary. Twee patronen voldoen aan de CRA-minimumlijn: één componenteninventaris op productniveau met element-gescheiden secties (bootloader, kernel, Wi-Fi-firmware, WAN-PHY-stack, netwerkdaemons, TLS, remote-management-agent en web-UI elk versie-vastgepind), of één inventaris per geleverd element die bij elke release wordt vernieuwd. Beide zijn acceptabel zolang ze machineleesbaar zijn en top-level afhankelijkheden zijn gedekt.

Wat controleert de release-aftekening?

De aftekening vóór de Uniemarkt-release moet vier recordmappen kunnen sluiten, hieronder als Q1 tot en met Q4 weergegeven. De volledige dossierindex staat in de bewijskaart hierboven; de vier vragen hier zijn alleen die welke de release blokkeren wanneer een map leeg is.

Bewijs: pin elk van de vier records vast op de exacte firmwareversie die het aftekent, zodat dezelfde release later kan worden heropend zonder het antwoord opnieuw te hoeven afleiden.

Hoe draagt de router over aan importeur, distributeur, ISP en operator?

Wat te doen daarna

Begin met de SKU-grensmemo: router, modem-router, mesh-kit, switch, VPN-router of firewall-variant. Plot vervolgens firmware, draadloze stack, remote management, cloud-diensten, leverancierscomponenten, update-eigenaarschap en ondersteuningsperiode in het productdossier; de productoverstijgende structuur van dat dossier staat in de technische documentatie-gids.