CRA-kypsyyden itsearviointi

1.1Onko teillä kirjalliset ja hyväksytyt tuoteturvallisuuspolitiikat?

1.2Onko tuoteturvallisuustoimintojen (esim. kehitys, haavoittuvuuksien hallinta, päivitykset) roolit ja vastuut selkeästi määritelty?

1.3Ylläpidättekö tuotekohtaista teknistä dokumentaatiota, jossa kuvataan käytössä olevat tietoturvaominaisuudet, riskiarvioinnit, suunnittelupäätökset ja päivitysmenettelyt?

1.4Onko käytössä prosessi tuoteturvallisuuden ja siihen liittyvän dokumentaation laadun säännölliseen tarkistamiseen?

1.5Tiedätkö, mikä markkinavalvontaviranomainen vastaa CRA:n täytäntöönpanosta, mitä vaatimustenmukaisuuden arviointimenettelyä tuotteisiisi sovelletaan, ja miten toimia tarvittaessa yhteydessä asiaankuuluviin viranomaisiin?

2.1Teettekö kyberturvallisuuden riskiarviointeja ja käytättekö tuloksia ohjaamaan tuotteen suunnittelua, kehitystä, kokoonpanoa ja komponenttien hallintaa koskevia päätöksiä?

2.2Suunnitellaanko tuotteet sisäänrakennetun tietoturvan periaatteiden mukaisesti alusta alkaen?

2.3Toimitetaanko tuotteet oletusarvoisesti turvallisilla kokoonpanoilla ja asetuksilla?

2.4Teettekö tietoturvatarkastuksia ja testausta ennen tuotteen julkaisua tai päivittämistä, ja missä määrin käytätte automatisoituja työkaluja?

2.5Tarkistetaanko ja päivitetäänkö riskiarvioinnit, kokoonpanot ja kolmansien osapuolten komponentit, kun riskit muuttuvat tai uusia uhkia ilmenee?

3.1Onko teillä prosessi, jolla vastaanotetaan, kuitataan, kirjataan ja seurataan asiakkaiden, tutkijoiden tai oman henkilöstön raportoimia haavoittuvuuksia?

3.2Onko teillä määritelty prosessi tietoturvapäivitysten luomiseksi, testaamiseksi, toimittamiseksi ja niistä viestimiseksi asiakkaille tuettujen tuotteiden osalta?

3.3Ylläpidättekö ja käytättekö SBOM:ia haavoittuvuuksien ja riippuvuuksien hallinnan tukena?

3.4Priorisoidaanko haavoittuvuudet ja päivitykset riskin ja mahdollisen vaikutuksen perusteella?

3.5Varmistatteko, että tietoturvapäivitykset todella korjaavat raportoidut haavoittuvuudet, ja säilytättekö näyttöä tästä varmennuksesta?

4.1Onko tuoteturvallisuuden hallintaan käyttövaiheessa määritelty toimintatapa?

4.2Hallitaanko tuotteen elinkaarta aktiivisesti, mukaan lukien määritellyt tukikaudet, päivitysvastuut, elinkaaren päättymisjärjestelyt ja viestintä asiakkaiden kanssa?

4.3Käytetäänkö tuotteen käytöstä, poikkeamien jälkitarkasteluista ja asiakaspalautteesta saatuja kokemuksia tuotteiden parantamiseen ajan mittaan?

4.4Onko käytössä jäsennelty ja testattu tapa käsitellä havaittuja tuoteturvallisuusongelmia?

4.5Valvotaanko tuotteita käytön aikana tietoturvariskien, haavoittuvuuksien ja uusien uhkien tunnistamiseksi?

5.1Onko käytettävissä riittävästi osaamista tuotteiden turvalliseen suunnitteluun, kehittämiseen ja ylläpitoon, tarvittaessa myös ulkopuolisen asiantuntemuksen avulla, kun sisäinen kapasiteetti on rajallinen?

5.2Saako asiaankuuluva henkilöstö asianmukaista koulutusta rooliinsa liittyvistä kyberturvallisuuskäytännöistä, mukaan lukien tuoteriskien hallinta, haavoittuvuuksien hallinta ja sisäänrakennettu tietoturva?

5.3Edistääkö organisaatio vastuullisen tuotekehityksen, avoimen raportoinnin ja tuoteriskitietoisuuden kulttuuria?

5.4Seuraatteko asiaankuuluvaa ulkoista tuoteturvallisuustietoa (esim. tiedotteita, hälytyksiä)?

5.5Arvioitteko ja varmennatteko, että tiimillänne on tarvittava osaaminen ja pätevyys turvallisten tuotteiden ylläpitoon?