CRA-vejledning for softwareudviklere
Hvordan Cyber Resilience Act gælder for softwareprodukter; fra sikker udvikling til sårbarhedshåndtering, SBOM'er og CE-mærkningen.
Trin til overholdelse
Bekræft anvendelsesområde og klasse
Art. 2 · 6Den meste software, der bringes i omsætning på EU-markedet med en dataforbindelse, er omfattet af anvendelsesområdet, og mange udviklerværktøjer falder ind under kategorien "vigtige" i bilag III.
- ✓Kør CRA Fast Check for at bekræfte anvendelsesområdet
- ✓Fastlæg, om dit produkt er standard, vigtigt eller kritisk
- ✓Registrér ræsonnementet i din dokumentation
Indbyg sikkerhed gennem design
Annex I · IDesign og udvikl produktet, så det opfylder de væsentlige sikkerhedsegenskaber i hele dets livscyklus.
- ✓Lever en sikker-som-standard-konfiguration
- ✓Anvend autentificering og adgangskontrol
- ✓Beskyt data med kryptering under overførsel og i hvile
- ✓Minimér angrebsfladen og de eksponerede grænseflader
At lade debug-grænseflader, standardlegitimationsoplysninger eller detaljeret fejloutput være aktiveret i produktionsbuilds.
Etablér sårbarhedshåndtering
Annex I · IIDriv en dokumenteret proces til at finde, afhjælpe og oplyse om sårbarheder gennem hele supportperioden.
- ✓Offentliggør en politik for koordineret oplysning om sårbarheder
- ✓Stil et kontaktpunkt til rådighed for indberetning af problemer
- ✓Afhjælp sårbarheder uden unødigt ophold
- ✓Oplys om afhjulpne sårbarheder, når en opdatering er tilgængelig
Vedligehold en softwarestykliste
Bilag I · II(1)Hold en aktuel SBOM, der mindst dækker dit produkts afhængigheder på øverste niveau.
- ✓Generér en SBOM i et maskinlæsbart format
- ✓Spor komponenter og deres kendte sårbarheder
- ✓Hold den opdateret ved hver frigivelse
Lever gratis, rettidige sikkerhedsopdateringer
Annex I · I(2)Lever sikkerhedsopdateringer adskilt fra funktionsopdateringer, gratis, i den erklærede supportperiode.
- ✓Fastlæg og offentliggør supportperioden
- ✓Lever sikkerhedsopdateringer rettidigt
- ✓Distribuér patches via en sikker mekanisme
Saml den tekniske dokumentation
Bilag VIIUdarbejd den dokumentation, der påviser overensstemmelse, og hold den tilgængelig for markedsovervågningen.
- ✓Produktbeskrivelse og tilsigtet anvendelse
- ✓Cybersikkerhedsrisikovurdering
- ✓Registre over anvendte standarder
Vurdér overensstemmelse og anbring CE
Art. 32 · 36Gennemfør overensstemmelsesvurderingsruten for din klasse, og udfærdig EU-overensstemmelseserklæringen.
- ✓Selvvurdér (standard) eller anvend et bemyndiget organ (vigtig/kritisk)
- ✓Udfærdig og underskriv EU-overensstemmelseserklæringen
- ✓Anbring CE-mærkningen
Opfyld rapporteringsforpligtelser og vedligehold produktet
Art. 13(8) · 14Fra september 2026 skal du indberette aktivt udnyttede sårbarheder og alvorlige hændelser og fortsætte med at vedligeholde produktet i hele dets supportperiode.
- ✓Indsend en tidlig varsling til ENISA og CSIRT inden for 24 timer
- ✓Følg op med en underretning og en endelig rapport
- ✓Informér berørte brugere, hvor det er relevant
Supportperioden skal være mindst fem år (eller produktets forventede levetid, hvis denne er længere), regnet fra det tidspunkt, hvor det bringes i omsætning på EU-markedet. I hele perioden skal du håndtere sårbarheder og levere gratis sikkerhedsopdateringer; hver opdatering skal derefter forblive tilgængelig i 10 år, og den tekniske dokumentation og EU-erklæringen skal opbevares i 10 år.
Alle værktøjer nedenfor er gratis at bruge og åbner her i et sidepanel, så du ikke mister din placering.
Bekræft, om forordningen finder anvendelse, og din sandsynlige klasse.
Åbn her →GratisOverensstemmelsesmatrixKortlæg hver forpligtelse i bilag I og VII, og spor den til mål.
Åbn her →GratisOmkostningsberegnerEstimér engangs- og de årlige omkostninger ved overholdelse.
Åbn her →GratisVulnerability AnalyzerKrydsreferer din SBOM mod NVD og EUVD, og spor End-of-Life-komponenter.
Åbn her →GratisDoC-generatorGenerér en EU-overensstemmelseserklæring (bilag V) for dit produkt.
Åbn her →GratisKlassifikationsfinderFastslå ud fra navnet, om dit produkt er standard, vigtigt eller kritisk.
Åbn her →GratisSupportperiodeplanlæggerFastsæt din minimale supportperiode, og markér komponenter, der når End-of-Life for tidligt.
Åbn her →Andre interessentvejledninger
Fabrikanter
De forpligtelser, Cyber Resilience Act pålægger producenter af produkter med digitale elementer; fra risikovurdering til CE-mærkning og forpligtelser efter markedsføring.
Importører og distributører
Hvad erhvervsdrivende skal verificere før; og efter; at de gør et produkt med digitale elementer tilgængeligt på EU-markedet.
Sådan opnår du en CE-mærkning
Trinene til at erklære overensstemmelse og anbringe CE-mærkningen for et produkt med digitale elementer.