Kübervastupidavuse määrus, selgitatuna

01Mis on CRA

Küberturvalisuse vastupidavuse seadus (määrus (EL) 2024/2847) on esimene ELi-ülene õigusakt, millega kehtestatakse kohustuslikud küberturvalisuse nõuded digielementidega tooted; riist- ja tarkvara; kogu nende olelusringi jooksul. See nihutab vastutuse turvalisuse eest organisatsioonidele, kes lasevad need tooted turule, selle asemel et jätta see kasutajatele. Art. 1

Praktikas võib toote ELi turul kättesaadavaks teha ainult siis, kui see vastab järgmistes sätestatud olulistele nõuetele: I lisa ja tootja on täitnud sellega seotud kohustused. Vastavust tõendatakse vastavushindamise, ELi vastavusdeklaratsiooni ja CE-märgis. Siduvat sõnastust saate lugeda määruse täistekst.

Pole kindel, kas see kehtib teie kohta? Kahe minuti CRA kiirkontroll määratleb reguleerimisala ja tõenäolise klassi enne kui edasi loete.

02Kellele see kohaldub

Määrus hõlmab digitaalsete elementidega tooteid, mille kavandatud või mõistlikult ettenähtav kasutamine hõlmab otsest või kaudset andmeühendust. See määratlus on tahtlikult lai: ühendatud tarbeseadmed, ärilised riistvaratooted, mobiil- ja lauaarvutirakendused, operatsioonisüsteemid, teegid ja komponendid kuuluvad kõik selle alla, välja arvatud juhul, kui kohaldatakse konkreetset erandit. Kohustused jaotuvad kogu tarneahela ulatuses: Art. 13–28

• Tootjad; kannavad esmaseid kohustusi: turvaline disain, tehniline dokumentatsioon, vastavushindamine ja haavatavuste käsitlemine. The tootja juhend ja the tarkvaraarendaja juhend sätestavad täieliku tee.
• Importijad; tohib turule viia ainult nõuetele vastavaid tooteid ja peab enne seda kontrollima, kas tootja kohustused on täidetud.
• Levitajad; peab tegutsema nõuetekohase hoolsusega ja kontrollima, kas CE-märgis ja dokumentatsioon on olemas. The importija ja levitaja juhend katab need kohustused.

CRA kehtib olenemata tootja asukohast: ELi-väline ettevõtja, kes müüb liitu, on reguleerimisalas ja peab tagama, et ELis asuv ettevõtja vastutaks asjaomaste kohustuste eest. Kaugandmetöötluslahendused mis on vajalikud toote funktsioonide täitmiseks, käsitletakse selle toote osana ja need on samuti hõlmatud. Art. 2 · 3(2)

03Tooteklassid

Nõutav vastavusmarsruut sõltub toote kriitilisusest. Enamik tooteid hindab end ise; lisades loetletud kõrgema riskiga kategooriad peavad järgima rangemaid menetlusi. Klassifikatsioon järgib toote põhifunktsioon, mitte iga funktsiooni, mida see sisaldab. Art. 6–7 · Annex III–IV

Kui kohalduda võib rohkem kui üks kategooria, kohaldatakse rangemat klassi. Oma toote sobitamiseks III ja IV lisa kategooriatega kasutage tooteklassi leidja.

04Peamised kohustused

I lisas sätestatud olulised nõuded jagunevad kahte rühma: omadused, mis tootel peavad olema, ja protsessid, mida tootja peab läbi viima. The vastavusmaatriks jälgib kõiki neid koos artikliviitega. I lisa

• Turvaline projekteerimise teel ja vaikimisi; tarnitud turvalise konfiguratsiooniga ja minimeeritud ründepinnaga.
• Teadaolevaid ärakasutatavaid nõrkusi pole; tarnitud ilma teadaolevate ärakasutatavate puudusteta.
• Nõrkuste käsitlemine; protsess probleemide tuvastamiseks, dokumenteerimiseks, kõrvaldamiseks ja avalikustamiseks.
• Turvavärskendused; tasuta, õigeaegsed uuendused kogu määratletud toetusperiood; üldiselt eeldatakse vähemalt viis aastat, välja arvatud juhul, kui toote eeldatav kasutusaeg on lühem.
• Tarkvara koostisosade loend; säilitada SBOM mis hõlmab toote komponente üldiselt kasutatavas, masintöödeldavas vormingus.
• Teavitamine; teavitage aktiivselt ärakasutatavatest haavatavustest ja tõsistest intsidentidest ENISAt ja asjakohast CSIRT-i, esitades varajase hoiatuse 24 tunni jooksul (vt allpool).

05Vastavus ja CE-märgis

Vastavuse tõendamine järgib kindlat järjestust ning marsruut on määratud toote klassiga. Art. 28 · 32 · Annex V · VII

• Koostage tehniline dokumentatsioon; VII lisas kirjeldatud tõendusfail, mida hoitakse kümme aastat pärast toote turule viimist.
• Viige läbi vastavushindamine; vaiketootel on lubatud ise hinnata (moodul A); olulisel tootel kasutatakse ühtlustatud standardeid või teavitatud asutust; kriitilised tooted vajavad sertifitseerimist.
• Koostage ELi vastavusdeklaratsioon; allkirjastatud avaldus, mis on koostatud vastavalt V lisale. The vastavusdeklaratsiooni generaator koostab selle teie eest.
• Kinnitage CE-märgis; nähtav märk selle kohta, et eespool nimetatu on täidetud.

Samm-sammuline CE-märgise juhend käib läbi iga marsruudi üksikasjalikult ja kulukalkulaator annab teie klassile vastavuse saavutamise indikatiivsed arvud.

06Teavitamiskohustused

Alates 11. september 2026, peavad tootjad teatama aktiivselt ärakasutatavad haavatavused ja tõsised intsidendid mis mõjutavad nende toodete turvalisust, ENISAle ja asjaomasele riiklikule CSIRT-ile artikli 16 alusel loodud ühtsesse teavitamisplatvormi kaudu. See on CRA peamiste kohustuste seas kõige varasem jõustumine. Art. 14 · 16

• 24 tundiVarajane hoiatus hetkest, mil saate teadlikuks aktiivselt ärakasutatud haavatavusest või tõsisest intsidendist.
• 72 tundiTäpsem teatis, sealhulgas võetud parandus- või leevendusmeetmed.
• 14 päevaLõpparuanne pärast haavatavuse kõrvaldamist või intsidendi puhul pärast selle lahendamist.

Nende ajavahemike täitmine praktikas tähendab komponentide tundmist ja nende pidevat jälgimist. The SBOM ja haavatavuse analüsaator jälgib teie komponentide loendit NVD ja ELi haavatavuste andmebaasi suhtes, et saaksite tegutseda 24-tunnise ajavahemiku jooksul. Täieliku ülevaate saamiseks selle kohta, mis loetakse teatatavaks ja kes iga aruande vastu võtab, vaadake intsidendi ja haavatavuse teavitamise juhend.

07Ajakava ja karistused

Määrus on juba jõustunud; selle kohustused jõustuvad järk-järgult järgnevatel aastatel. Art. 71

• dets 2024Jõustus (10. detsember 2024).
• sept 2026Teavitamiskohustused kehtivad (11. september 2026).
• 2026Põhiliste ühtlustatud standardite ja tooteklassifikatsiooni tähtpäevad saabuvad (30. august / 30. oktoober 2026).
• dets 2027Täielik kohaldamine; enamik sätteid kehtib (11. detsember 2027).

08Levinud küsimused

Rohkem vastuseid, igaüks koos artikliviitega, leiate täielik KKK-leht.

09Mida edasi teha

Alustage kinnitamisest, kas seadus kehtib teie toote suhtes, seejärel järgige teie rollile kirjutatud juhendeid ja jälgige nõuete täitmist.