Kommissionens genomförandeförordning (EU) 2025/2392 av den 28 november 2025 om den tekniska beskrivningen av kategorierna av viktiga och kritiska produkter med digitala element enligt Europaparlamentets och rådets förordning (EU) 2024/2847

Produktkategori

Teknisk beskrivning

Identitetshanteringssystem är produkter med digitala element som tillhandahåller mekanismer för autentisering och auktorisationskontroller och som också kan tillhandahålla mekanismer för livscykelhantering av identitetsuppgifter för fysiska personer, juridiska personer, enheter eller system, såsom registrering, tillhandahållande, underhåll och avregistrering av identitetsuppgifter. Dessa system omfattar åtkomsthanteringssystem som kontrollerar fysiska personers, juridiska personers, enheters eller systems åtkomst till digitala resurser eller fysiska platser.

Programvara för hantering av privilegierad åtkomst är ett åtkomsthanteringssystem som kontrollerar och övervakar åtkomsträttigheter till it- eller OT-system och känsliga uppgifter i en organisation, inbegripet system för verkställande av differentierade policyer för åtkomstkontroll när det gäller privilegierade användare.

Denna kategori inbegriper, men är inte begränsad till, läsare för autentisering och åtkomstkontroll, biometriska läsare, programvara för samlad inloggning (SSO), programvara för federerad identitetshantering, programvara för engångslösenord, hårdvara för autentisering av enheter såsom generatorer av transaktionsautentiseringsnummer (TAN), autentiseringsprogramvara och programvara för flerfaktorsautentisering.

Programvaruprodukter med digitala element som gör det möjligt att få åtkomst till, återge, och interagera med webbinnehåll och tjänster som finns på servrar som är anslutna till nätverk som t.ex. internet. Dessa omfattar vanligen en webbläsarmotor för att tolka och visa innehåll skrivet på märkspråk (t.ex. HTML), stöd för webbprotokoll (t.ex. HTTP, HTTPS), förmåga att köra skript och hantera användarindata samt lagring av tillfälliga eller beständiga data från webbplatser (kakor).

Denna kategori omfattar, men är inte begränsad till, fristående applikationer som fyller funktion som webbläsare, inbäddade webbläsare avsedda för integrering i andra system eller applikationer samt webbläsare med integrerad AI-agent.

Produkter med digitala element som lagrar lösenord, lokalt på en enhet eller på en fjärrserver, inklusive sådant som generering av lösenord, delning av lösenord och integrering av lösenord med lokala applikationer eller tredjepartsapplikationer för lösenordsanvändning.

Denna kategori omfattar, men är inte begränsad till, lokala lösenordshanterare, lösenordshanterare som tillhandahålls som webbläsartillägg samt hårdvarubaserade lösenordshanterare.

Programvaruprodukter med digitala element, normalt benämnda antivirus- eller antimalware-program, som upptäcker eller söker efter sabotageprogram eller -koder eller -enheter, eller som avlägsnar sådana programvaror eller koder eller sätter dem i karantän, för att upprätthålla integriteten, konfidentialiteten eller tillgängligheten för sådana enheter.

När det gäller denna produktkategori, betyder sabotageprogram programvara som innehåller fientliga funktioner eller förmågor som direkt eller indirekt kan orsaka användaren och/eller datorsystemet skada, t.ex. virus, maskar, utpressningsprogram, spionprogram och trojaner.

Denna kategori omfattar, men är inte begränsad till, programvara som upptäcker eller söker efter sabotageprogram i realtid eller manuellt, spökprogram och räddningsdiskar (rescue disks) med kärnfunktionen att söka eller avlägsna sabotageprogram eller sätta dem i karantän.

Produkter med digitala element som upprättar en krypterad logisk tunnel konstruerad av systemresurserna hos ett fysiskt eller virtuellt nätverk.

Denna kategori omfattar, men är inte begränsad till, virtuella privata klientnätverk, virtuella privata nätservrar och virtuella privata nätportar.

Produkter med digitala element som hanterar nätelement, såsom servrar, routrar, omkopplare, arbetsstationer, skrivare eller mobila enheter, genom att övervaka dem och kontrollera deras nätverksdrift och konfiguration.

Denna kategori omfattar, men är inte begränsad till, hanteringssystem från ändpunkt till ändpunkt och konfigurationshanteringssystem, såsom styrenheter för programvarudefinierad nätverksdrift.

Produkter med digitala element som samlar in data från flera källor, analyserar och korrelerar dessa data och presenterar dem som handlingsbar information för säkerhetsrelaterade ändamål, såsom detektering av hot och incidenter, forensisk analys och efterlevnad.

Programvaruprodukter med digitala element som hanterar systemprocessen vid start/omstart genom att de initialiserar hårdvaran, laddar operativssystemmiljön eller systemresurser respektive överför kontrollen till dessa och väljer startalternativ.

Denna kategori omfattar, men är inte begränsad till, UEFI-firmware, enstegs- eller flerstegsstarthanterare.

Produkter med digitala element vilka används som en del i en PKI-infrastruktur som hanterar validering, skapande, utfärdande statuspublicering, förnyande eller återkallande av digitala certifikat eller generering, lagring, deponering, utbyte, förstöring eller rotation av krypteringsnycklar förbundna med sådana digitala certifikat.

Denna kategori omfattar, men är inte begränsad till, nyckelhanteringssystem, system för hantering av digitala certifikat, svarsenheter för onlineprotokoll avseende onlinestatus (online certificate status protocol responders) och allt i ett-PKI-lösningar.

Fysiska nätverksgränssnitt är produkter med digitala element som direkt kopplar en enhet till ett programmeringsgränssnitt (API) som tillhandahålls av gränssnittsdrivrutiner, vilka normalt används i datalänkskiktet, och som har hårdvaruadaptrar till överföringsmedier med motsvarande firmware, som vanligtvis används i det fysiska skiktet och datalänkskiktet.

Virtuella nätverksgränssnitt är produkter med digitala element som direkt eller indirekt kopplar en enhet till ett nätverk via ett programmeringsgränssnitt som efterliknar drivrutinerna hos fysiska nätverksgränssnitt, som normalt används i datalänkskiktet.

Denna kategori omfattar men är inte begränsade till nätverkskort för trådnät och trådlösa nät, styrenheter och adaptrar, t.ex. för wifi, Ethernet, IrDA, USB, Bluetooth, NearLink, Zigbee eller Fieldbus samt rent virtuella fristående produkter, t.ex. nätverkskort för virtuella nätverk, container-nätverksgränssnitt och VPN-gränssnitt.

Programvaruprodukter med digitala element som tillhandahåller ett abstrakt gränssnitt för den underliggande hårdvaran och kontrollerar körning av programvara och som kan tillhandahålla sådana tjänster som hantering av datorresurser och konfigurering, schemaläggning, input-output-kontroll, datahantering och tillhandahållande av ett gränssnitt, genom vilket applikationer kan interagera med systemresurser och kringutrustning.

Denna kategori omfattar, men är inte begränsad till, realtidsoperativsystem och operativsystem för allmänna och särskilda ändamål.

Routrar och produkter med digitala element som upprättar och kontrollerar dataflödet mellan olika nätverk genom att välja olika vägar eller rutter med användning av dirigeringsprotokollmekanismer och algoritmer, som normalt drivs i nätverksskiktet.

Denna kategori omfattar, men är inte begränsade till, trådbundna eller trådlösa routrar, virtuella routrar och routrar med eller utan modem.

Modem avsedda för anslutning till internet är hårdvaruprodukter med digitala element som använder digital modulerings- och demoduleringsteknik för att omvandla analoga signaler till digitala signaler, eller vice versa, för IP-baserad kommunikation.

Denna kategori omfattar, men är inte begränsade till, fibermodem, DSL-modem (Digital Subscriber Line), kabelmodem (DOCSIS), satellitmodem och mobilmodem.

Omkopplare är produkter med digitala element som tillhandahåller konnektivitet mellan nätverksanslutna enheter genom paketförmedlingsmekanismer och som har ett hanteringsplan (management plane), vanligtvis i datalänksskiktet eller nätverksskiktet.

Denna kategori omfattar, men är inte begränsad till, hanterade omkopplare, smarta omkopplare, multiskiktsomkopplare (multilayer switches), virtuella säkerhetsomkopplare, programmerbara omkopplare för programvarudefinierade nätverk och bryggor såsom trådlösa accesspunkter.

Produkter med digitala element som är integrerade kretsar som utför centrala behandlingsfunktioner som förlitar sig på externt minne och kringutrustning, inklusive mikrokod och annan lågnivå-firmware. De tillhandahåller också säkerhetsrelaterade funktioner såsom kryptering, autentisering, säker lagring av nycklar, slumptalsgenerering, tillförlitlig miljö för körning eller andra hårdvarubaserade skyddsmekanismer, som syftar till att säkra andra produkter, nätverk eller tjänster utöver själva mikroprocessorn, såsom säker botkedja eller virtualisering eller säkra kommunikationsgränssnitt.

Produkter med digitala element vilka är integrerade kretsar som utför centrala behandlingsfunktioner vilka integrerar minne, så att mikrokontrollerna är programmerbara och normalt även annan kringutrustning inklusive mikrokod och annan lågnivå-firmware. De tillhandahåller också säkerhetsrelaterade funktioner såsom kryptering, autentisering, säker lagring av nycklar, slumptalsgenerering, tillförlitlig miljö för körning eller andra hårdvarubaserade skyddsmekanismer, som syftar till att säkra andra produkter, nätverk eller tjänster utöver själva mikrokontrollern, såsom säker botkedja eller virtualisering eller säkra kommunikationsgränssnitt.

Applikationsspecifika integrerade kretsar (ASIC) med säkerhetsrelaterade funktioner är produkter med digitala element som är integrerade kretsar, helt eller delvis skräddarsydda för att utföra en specifik funktion eller genomföra den specifik tillämpning, inbegripet mikrokod och annan lågnivå-firmware. De tillhandahåller också säkerhetsrelaterade funktioner såsom kryptering, autentisering, säker lagring av nycklar, slumptalsgenerering, tillförlitlig miljö för körning eller andra hårdvarubaserade skyddsmekanismer, som syftar till att säkra andra produkter, nätverk eller tjänster utöver ASIC i sig, såsom säker botkedja eller virtualisering eller säkra kommunikationsgränssnitt.

FPGA (Field-programmable gate arrays) med säkerhetsrelaterade funktioner är produkter med digitala element som är integrerade kretsar som kännetecknas av en matris eller konfigurerbara logikblock (CLB) utformade för att vara omprogrammerbara efter tillverkningen för att utföra en specifik funktion eller genomföra den specifik tillämpning, inbegripet mikrokod och annan lågnivå-firmware. De tillhandahåller också säkerhetsrelaterade funktioner såsom kryptering, autentisering, säker lagring av nycklar, slumptalsgenerering, tillförlitlig miljö för körning eller andra hårdvarubaserade skyddsmekanismer, som syftar till att säkra andra produkter, nätverk eller tjänster utöver FPGA i sig, såsom säker botkedja eller virtualisering eller säkra kommunikationsgränssnitt.

Produkter med digitala element som kommunicerar via offentligt internet, direkt eller via annan utrustning, som behandlar uppmaningar, uppdrag eller frågor baserat på promptar på naturliga språk, såsom indata i form av ljud eller skrift, och som baserat på dessa uppmaningar, uppdrag eller frågor ger tillgång till andra tjänster eller kontrollerar funktioner för uppkopplade enheter i hemmiljö.

Denna kategori omfattar, men är inte begränsad till, smarta högtalare med en integrerad virtuell assistent eller fristående virtuella assistenter som motsvarar denna beskrivning.

Produkter med digitala element som skyddar konsumenters fysiska säkerhet i hemmiljö och som kan kontrolleras eller hanteras på distans från andra system samt hårdvara och programvara som kontrollerar sådana produkter centralt.

Denna kategori omfattar, men är inte begränsad till, smarta dörrlåsningsanordningar, babyövervakningssystem, larmsystem och hemsäkerhetskameror.

Internetanslutna leksaker med socialt interaktiva funktioner är produkter med digitala element som omfattas av direktiv 2009/48/EG, vilka kommunicerar på det offentliga internet, antingen direkt eller via annan utrustning, och som har inbäddad teknik som möjliggör inkommande och utgående kommunikation, såsom tangentbord, mikrofon, högtalare eller kamera

Internetanslutna leksaker med positionsspårningsfunktioner är produkter med digitala element som omfattas av direktiv 2009/48/EG, vilka kommunicerar på det offentliga internet, antingen direkt eller via annan utrustning, och har teknik som möjliggör spårning eller härledning av leksakens eller dess ägares position. Om leksaken detekterar närheten till användaren eller andra leksaker endast med hjälp av avkänningsteknik anses leksaken inte ha någon positionsspårningsfunktion.

Personliga kroppsburna produkter som ska bäras eller placeras på en människokropp och som har ett hälsoövervakningssyfte är produkter med digitala element som bärs på direkt på kroppen eller via klädesplagg eller accessoarer och som regelbundet eller kontinuerligt kan känna igen och behandla information, inklusive biometriska kroppsdata, som är relevanta för användarens hälsa, exklusive produkter som omfattas av förordning (EU) 2017/745 eller förordning (EU) 2017/746.

Denna kategori omfattar, men är inte begränsad till, aktivitetsmätare, smartklockor, smarta smycken, smarta klädesplagg och smarta sportartiklar som motsvarar denna beskrivning.

Personliga kroppsburna produkter som är avsedda för användning av och för barn är produkter med digitala element som kan bäras eller placeras på kroppen, direkt eller via klädesplagg eller accessoarer, för individer som är under 14 år.

Denna kategori omfattar, men är inte begränsad till, kroppsburna barnsäkerhetsprodukter.

Produktkategori

Teknisk beskrivning

Hypervisorer är programvaruprodukter med digitala element som abstraherar och/eller tilldelar datorresurser och som möjliggör exekvering, hantering och orkestrering av virtuella maskiner som är logiskt separerade från varandra och/eller från fysisk hårdvara. Hypervisorer kan köras direkt på hårdvara (bare metal), över ett operativsystem eller inom en annan virtuell maskin (kapslad virtualisering).

Inom denna produktkategori är en virtuell maskin en programvarudefinierad logisk avgränsning av en datormiljö, som omfattar en virtualiserad uppsättning hårdvaruresurser (t.ex. CPU, minne, lagring nätverksgränssnitt) och som normalt har sitt eget operativsystem.

Denna kategori omfattar, men är inte begränsad till, hypervisorer av typ 1 (bare metal), hypervisorer av typ 2 (används på ett operativsystem) och hybridhypervisorer.

System för körning av programbehållare är programvaruprodukter med digitala element som hanterar exekvering och livscykel för behållare som körs på ett enda värdoperativsystem som isolerade processer och som fördelar resurser och tillåter hantering och orkestrering av enskilda containrar.

Inom denna produktkategori är en container en programvarubaserad exekveringsmiljö som kapslar in en eller flera programvarukomponenter och av dem avhängiga element (dependencies) i ett enda paket, som gör att den kan köras fristående och konsekvent.

Brandväggar är produkter med digitala element som skyddar ett uppkopplat nätverk eller system från obehörig åtkomst genom övervakning och begränsning av datakommunikationstrafiken till och från det nätverket.

Denna kategori omfattar, men är inte begränsad till, nätverksbrandväggar och applikationsbrandväggar såsom webbapplikationsbrandväggar eller -filter och nätslussar mot skräppost.

Intrångsdetektionssystem är produkter med digitala element som övervakar trafik när den har kommit in i nätverksmiljön för att upptäcka misstänkt aktivitet och som detekterar och identifierar intrångsförsök och intrång som inträffar eller har inträffat i ett uppkopplat nätverk eller system.

Denna kategori omfattar, men är inte begränsad till, nätverksbaserade intrångsdetektionssystem och värdbaserade intrångsdetektionssystem.

Intrångsdetektionssystem är produkter med digitala element som består av ett intrångsdetektionssystem vilka aktivt reagerar på ett intrång i ett uppkopplat nätverk eller system.

Denna kategori omfattar, men är inte begränsad till, nätverksbaserade system för intrångsskydd och värdbaserade system för intrångsskydd.

Produkter med digitala element som är mikroprocessorer med säkerhetsrelaterade funktioner som avses i tabellen ”Klass I”, punkt 13 i denna bilaga, inbegripet bevis på manipulering, motstånd mot manipulering eller svarsåtgärd mot manipulering, och som dessutom är utformade för att skydda AVA_VAN-nivå 2 eller 3, i enlighet med Common Criteria och den gemensamma evalueringsmetodiken.

Produkter med digitala element som är mikrokontroller med säkerhetsrelaterade funktioner som avses i tabellen ”Klass I”, punkt 14 i denna bilaga, inbegripet bevis på manipulering, motstånd mot manipulering eller svarsåtgärd mot manipulering, och som dessutom är utformade för att skydda AVA_VAN-nivå 2 eller 3, i enlighet med Common Criteria och den gemensamma evalueringsmetodiken.

Produktkategori

Teknisk beskrivning

Hårdvaruprodukter med digitala element som på ett säkert sätt lagrar, behandlar eller hanterar känsliga data eller utför kryptografiska operationer, eller som består av flera diskreta komponenter, inkorporerar ett fysiskt hårdvaruhölje som tillhandahåller bevis på manipulering, motstånd mot manipulering eller svarsåtgärd mot manipulering som motåtgärder mot fysiska attacker.

Denna kategori omfattar, men är inte begränsad till, fysiska betalningsterminaler, säkerhetsmoduler i hårdvara som genererar och hantera kryptografiska element samt färdskrivare som motsvarar beskrivningen ovan.

Smarta mätarportar är produkter med digitala element som kontrollerar kommunikation mellan komponenter i eller anslutna till smarta mätarsystem enligt definitionen i artikel 2.23 i direktiv (EU) 2019/944 och auktoriserade tredje parter, såsom leverantörer av allmännyttiga tjänster. Smarta mätarportar samlar in, behandlar och lagra mätardata eller personuppgifter, skyddar data och informationsflöden genom att stödja specifika kryptografiska behov, såsom kryptering av data, innefattar brandväggsfunktioner och ger möjlighet att kontrollera andra anordningar.

Denna kategori omfattar, men är inte begränsad till, smarta mätarportar för smarta mätarsystem för elektricitet enligt definitionen i artikel 2.23 i direktiv (EU) 2019/944. Den kan också omfatta smarta mätarportar som används i andra smarta mätarsystem som mäter förbrukningen av andra energikällor såsom gas eller värme, förutsatt att porten motsvarar denna beskrivning.

Säkra element är mikrokontroller eller mikroprocessorer med säkerhetsrelaterade funktioner, inbegripet på manipulering, motstånd mot manipulering eller svarsåtgärder mot manipulering. De lagrar, behandlar eller hanterar vanligtvis kryptografiska operationer eller känsliga data, såsom identitetsuppgifter eller betalningsuppgifter. Säkra element är utformade för att ge skydd på minst AVA_VAN.4-nivå, i enlighet med Common Criteria och den gemensamma evalueringsmetodiken. De kan utgöras av diskret kisel eller kan vara integrerade i system på chip. Säkra element kan inbegripa en applikationsmiljö eller ett operativsystem och kan omfatta en eller flera applikationer.

Denna kategori omfattar, men är inte begränsad till, Trusted Platform Modules (TPM) och inbäddade universalkort med integrerade kretsar (Universal Integrated Circuit Card, UICC).

Smartkort eller liknande anordningar är säkra element integrerade i ett bärarmaterial, såsom plast eller trä, i form av ett kort, eller säkra element integrerade i bärarmaterial som tar andra former.

Denna kategori omfattar men är inte begränsade till id- och resehandlingar, kvalificerade kort för underskrifter, ersättningsbara UICC, fysiska betalkort, fysiska tillträdeskort, digitala färdskrivarkort eller armband med integrerade säkra betalningselement.