Akt o kibernetski odpornosti, pojasnjen

01Kaj je CRA

Akt o kibernetski odpornosti (Uredba (EU) 2024/2847) je prva vseeuvropska zakonodaja, ki določa obvezne zahteve kibernetske varnosti za izdelki z digitalnimi elementi; strojno in programsko opremo; skozi njihov celoten življenjski cikel. Odgovornost za varnost prenaša na organizacije, ki te izdelke dajejo na trg, namesto da bi jo prepuščala uporabnikom. čl. 1

V praksi se sme izdelek dati na trg EU le, če izpolnjuje bistvene zahteve, določene v Priloga I in da je proizvajalec izpolnil z njim povezane obveznosti. Skladnost se dokaže z ocenjevanjem skladnosti, izjavo EU o skladnosti in Oznaka CE. Zavezujoče besedilo si lahko preberete v celotno besedilo uredbe.

Niste prepričani, ali se to nanaša na vas? Dvominutni Hitri pregled CRA določi področje uporabe in verjetni razred, preden nadaljujete z branjem.

02Za koga velja

Uredba zajema izdelke z digitalnimi elementi, katerih predvidena ali razumno predvidljiva uporaba vključuje neposredno ali posredno podatkovno povezavo. Ta opredelitev je namerno široka: povezane potrošniške naprave, poslovna strojna oprema, mobilne in namizne aplikacije, operacijski sistemi, knjižnice in komponente spadajo vanjo, razen če velja posebna izjema. Obveznosti so porazdeljene po dobavni verigi: čl. 13–28

• Proizvajalci; nosijo primarne obveznosti: varno načrtovanje, tehnično dokumentacijo, ocenjevanje skladnosti in obravnavanje ranljivosti. The vodnik za proizvajalce in the vodnik za razvijalce programske opreme določita celotno pot.
• Uvozniki; smejo na trg dajati le skladne izdelke in morajo pred tem preveriti, ali so bile obveznosti proizvajalca izpolnjene.
• Distributerji; morajo ravnati s primerno skrbnostjo in preveriti prisotnost oznake CE in dokumentacije. The vodnik za uvoznike in distributerje zajema te obveznosti.

CRA se uporablja ne glede na to, kje ima sedež proizvajalec: podjetje zunaj EU, ki prodaja na območje Unije, je zajeto in mora zagotoviti, da je gospodarski subjekt v EU odgovoren za ustrezne obveznosti. Rešitve za oddaljeno obdelavo podatkov ki so potrebne za delovanje izdelka, se obravnavajo kot del tega izdelka in so prav tako zajete. čl. 2 · 3(2)

03Razredi izdelkov

Zahtevana pot skladnosti je odvisna od tega, kako kritičen je izdelek. Večina izdelkov se samocertificira; kategorije z višjim tveganjem, navedene v prilogah, se soočajo s strožjimi postopki. Razvrstitev sledi osnovna funkcionalnost, ne vsake funkcije, ki jo morda vsebuje. čl. 6–7 · Priloga III–IV

Kjer bi se lahko uporabila več kot ena kategorija, se uporabi strožji razred. Za primerjavo vašega izdelka s kategorijami iz Prilog III in IV uporabite iskalnik razreda izdelka.

04Ključne obveznosti

Bistvene zahteve iz Priloge I spadajo v dve skupini: lastnosti, ki jih mora imeti izdelek, in postopki, ki jih mora izvajati proizvajalec. The matrika skladnosti vsako od njih sledi s sklicem na člen. Priloga I

• Varno po zasnovi in privzeto; dobavljen z varno konfiguracijo in čim manjšo napadalno površino.
• Brez znanih izkoristljivih ranljivosti; dobavljen brez znanih izkoristljivih napak.
• Obravnavanje ranljivosti; postopek za prepoznavanje, dokumentiranje, odpravljanje in razkrivanje težav.
• Varnostne posodobitve; brezplačne, pravočasne posodobitve skozi celotno določeno obdobje podpore; splošno se pričakuje vsaj pet let, razen če je pričakovana uporaba izdelka krajša.
• Seznam sestavin programske opreme; vzdržujte SBOM ki zajema komponente izdelka v splošno uporabljenem, strojno berljivem formatu.
• Poročanje; obvestijo ENISA in pristojni CSIRT o aktivno izkoriščenih ranljivostih in hudih incidentih, zgodnje opozorilo pa pošljejo v 24 urah (glejte spodaj).

05Skladnost in oznaka CE

Dokazovanje skladnosti poteka po določenem zaporedju, pot skozi njega pa je določena glede na razred izdelka. čl. 28 · 32 · Priloga V · VII

• Sestavite tehnično dokumentacijo; evidenčna datoteka, opisana v Prilogi VII, ki se hrani deset let po dajanju izdelka na trg.
• Izvedite ugotavljanje skladnosti; privzeti izdelki se lahko samocertificirajo (modul A); pomembni izdelki uporabljajo harmonizirane standarde ali priglašeni organ; kritični izdelki zahtevajo certificiranje.
• Sestavite izjavo EU o skladnosti; podpisana izjava, strukturirana v skladu s Prilogo V. The generator izjave o skladnosti ga ustvari za vas.
• Namestite oznako CE; vidno znamenje, da je zgoraj navedeno opravljeno.

Korak za korakom Vodnik za oznako CE podrobno obravnava vsako pot, in kalkulator stroškov podaja okvirno številko za doseganje skladnosti za vaš razred.

06Obveznosti poročanja

Od 11. september 2026, morajo proizvajalci poročati aktivno izkoriščene ranljivosti in hudi incidenti ki vplivajo na varnost njihovih izdelkov, ENISA in pristojnemu nacionalnemu CSIRT prek enotne platforme za poročanje, vzpostavljene v skladu s členom 16. To je najzgodnejša od glavnih obveznosti CRA, ki začne veljati. čl. 14 · 16

• 24 urZgodnje opozorilo od trenutka, ko se seznanite z aktivno izkoriščeno ranljivostjo ali hudim incidentom.
• 72 urPodrobnejše obvestilo, vključno s sprejetimi korektivnimi ali blažilnimi ukrepi.
• 14 dniKončno poročilo, ko je ranljivost odpravljena oziroma, pri incidentu, ko je ta obravnavan.

Upoštevanje teh rokov v praksi pomeni poznavanje svojih komponent in njihovo nepretrgano spremljanje. The SBOM in analizator ranljivosti primerja vaš seznam sestavnih delov z NVD in bazo ranljivosti EU, tako da lahko ukrepate v 24-urnem roku. Za popoln pregled tega, kaj se šteje za poročljivo in kdo prejme posamezno poročilo, glejte vodnik za poročanje o incidentih in ranljivostih.

07Časovnica in kazni

Akt je že v veljavi; njegove obveznosti se postopno uvajajo v naslednjih letih. čl. 71

• dec. 2024Začetek veljavnosti (10. december 2024).
• Jun 2026Poglavje IV se začne uporabljati (11 June 2026): organi za ugotavljanje skladnosti so lahko priglašeni pred začetkom polne uporabe.
• sep. 2026Obveznosti poročanja se začnejo uporabljati (11. september 2026).
• 2026Ključni harmonizirani standardi in datumi razvrstitve izdelkov dospejo (30. avgusta / 30. oktobra 2026).
• dec. 2027Polna uporaba; večina določb se začne uporabljati (11. december 2027).

08Pogosta vprašanja

Več odgovorov, vsak s sklicem na člen, najdete na celotna stran s pogostimi vprašanji.

09Kaj storiti naprej

Začnite s potrditvijo, ali se akt nanaša na vaš izdelek, nato sledite navodilom za svojo vlogo in sledite izpolnjevanju zahtev do konca.