Reitti vaatimustenmukaisuuteen · Ohjeistus

CRA-opas ohjelmistokehittäjille

Miten kyberkestävyyssäädös soveltuu ohjelmistotuotteisiin; turvallisesta kehityksestä haavoittuvuuksien käsittelyyn, SBOM-luetteloihin ja CE-merkintään.

Koskee

Digitaalisia elementtejä sisältävä ohjelmisto

Vaatimustenmukaisuus

Standardit tai kolmas osapuoli

Tukikausi

Määritetty, ≥ odotettu käyttö

Vahvista soveltamisala ja luokka

Art. 2 · 6

Suurin osa EU:n markkinoille saatetusta ohjelmistosta, jossa on datayhteys, kuuluu soveltamisalaan, ja monet kehitystyökalut kuuluvat liitteen III 'tärkeään' luokkaan.

✓Suorita CRA-pikatarkistus soveltamisalan vahvistamiseksi
✓Yksilöi, onko tuotteesi oletus-, tärkeä vai kriittinen tuote
✓Kirjaa perustelut asiakirjoihisi

Työkalu tähän vaiheeseen

Rakenna tietoturva sisäänrakennetusti

Annex I · I

Suunnittele ja kehitä tuote täyttämään olennaiset turvallisuusominaisuudet koko sen elinkaaren ajan.

✓Toimita oletusarvoisesti turvallinen kokoonpano
✓Toteuta todennus ja pääsynvalvonta
✓Suojaa tiedot salauksella siirron aikana ja levossa
✓Minimoi hyökkäyspinta ja altistuneet rajapinnat

Yleinen sudenkuoppa

Vianetsintärajapintojen, oletustunnusten tai monisanaisen virheentulostuksen jättäminen päälle tuotantoversioissa.

Työkalu tähän vaiheeseen

Ota käyttöön haavoittuvuuksien käsittely

Annex I · II

Ylläpidä dokumentoitua prosessia haavoittuvuuksien löytämiseksi, korjaamiseksi ja julkistamiseksi koko tukikauden ajan.

✓Julkaise koordinoidun haavoittuvuuksien julkistamisen käytäntö
✓Tarjoa yhteyspiste ongelmien ilmoittamista varten
✓Korjaa haavoittuvuudet ilman aiheetonta viivytystä
✓Julkista korjatut haavoittuvuudet, kun päivitys on saatavilla

Ylläpidä ohjelmistoluetteloa (SBOM)

liite I · II(1)

Pidä yllä ajantasaista SBOM-luetteloa, joka kattaa vähintään tuotteesi ylimmän tason riippuvuudet.

✓Luo SBOM koneluettavassa muodossa
✓Seuraa komponentteja ja niiden tunnettuja haavoittuvuuksia
✓Pidä se ajan tasalla jokaisen julkaisun yhteydessä

Työkalu tähän vaiheeseen

Toimita maksuttomat, oikea-aikaiset tietoturvapäivitykset

Annex I · I(2)

Tarjoa tietoturvapäivitykset erillään ominaisuuspäivityksistä, maksutta, ilmoitetun tukikauden ajan.

✓Määritä ja julkaise tukikausi
✓Toimita tietoturvapäivitykset viipymättä
✓Jaa korjaukset turvallisen mekanismin kautta

Kokoa tekniset asiakirjat

liite VII

Kokoa vaatimustenmukaisuuden osoittavat asiakirjat ja pidä ne markkinavalvonnan saatavilla.

✓Tuotekuvaus ja tarkoitettu käyttö
✓Kyberturvallisuusriskien arviointi
✓Tiedot sovelletuista standardeista

Arvioi vaatimustenmukaisuus ja kiinnitä CE-merkintä

Art. 32 · 36

Suorita luokkasi mukainen vaatimustenmukaisuuden arviointireitti ja laadi EU-vaatimustenmukaisuusvakuutus.

✓Tee itsearviointi (oletus) tai käytä ilmoitettua laitosta (tärkeä/kriittinen)
✓Laadi ja allekirjoita EU-vaatimustenmukaisuusvakuutus
✓Kiinnitä CE-merkintä

Työkalu tähän vaiheeseen

Täytä raportointivelvoitteet ja ylläpidä tuotetta

Art. 13(8) · 14

Syyskuusta 2026 alkaen ilmoita aktiivisesti hyväksikäytetyistä haavoittuvuuksista ja vakavista poikkeamista ja jatka tuotteen ylläpitoa koko sen tukikauden ajan.

✓Toimita ennakkovaroitus ENISAlle ja CSIRT-yksikölle 24 tunnin kuluessa
✓Jatka ilmoituksella ja loppuraportilla
✓Tiedota asianomaisille käyttäjille tarvittaessa

Jatkuva velvoitteesi

Tukikauden on vastattava tuotteen odotettua käyttöaikaa, laskettuna EU:n markkinoille saattamisesta: oletuksena viisi vuotta, lyhyempi, jos odotettu käyttöaika on lyhyempi, ja pidempi, jos se on pidempi. Koko sen ajan sinun on käsiteltävä haavoittuvuuksia ja tarjottava maksuttomia tietoturvapäivityksiä; jokaisen päivityksen on tämän jälkeen pysyttävä saatavilla 10 vuotta sen julkaisemisesta tai tuen päättymiseen asti, jos se on myöhäisempi, ja tekninen asiakirja-aineisto sekä EU-vakuutus on säilytettävä 10 vuotta tai tuen päättymiseen asti, jos se on myöhäisempi.

Maksuttomat työkalut tälle roolille

Jokainen alla oleva työkalu on maksuton ja avautuu tässä sivupaneelissa, joten et menetä paikkaasi.

MaksutonCRA-pikatarkistus

Vahvista, koskeeko säädös sinua, ja todennäköinen luokkasi.

Avaa tässä →MaksutonVaatimustenmukaisuusmatriisi

Kartoita jokainen liitteen I ja VII velvoite ja seuraa sen täyttymistä loppuun asti.

Avaa tässä →MaksutonKustannuslaskuri

Arvioi vaatimustenmukaisuuden kertaluonteiset ja vuosittaiset kustannukset.

Avaa tässä →MaksutonHaavoittuvuusanalysaattori

Ristiintarkista SBOM-luettelosi NVD- ja EUVD-tietokantoja vasten ja seuraa elinkaarensa päässä olevia komponentteja.

Avaa tässä →MaksutonDoC-generaattori

Luo tuotteellesi EU-vaatimustenmukaisuusvakuutus (liite V).