Samoocena zrelosti CRA

1.1Ali imate pisne in odobrene politike varnosti izdelkov?

1.2Ali so vloge in odgovornosti za dejavnosti varnosti izdelkov (npr. razvoj, upravljanje ranljivosti, posodobitve) jasno opredeljene?

1.3Ali za posamezne izdelke vodite tehnično dokumentacijo, ki opisuje vpeljane varnostne funkcije, ocene tveganja, odločitve pri zasnovi in postopke posodabljanja?

1.4Ali obstaja postopek za redno pregledovanje varnosti izdelkov in kakovosti povezane dokumentacije?

1.5Ali poznate organ za nadzor trga, pristojen za izvrševanje CRA, postopek ugotavljanja skladnosti, ki velja za vaše izdelke, in način komuniciranja z ustreznimi organi, kadar je to potrebno?

2.1Ali izvajate ocene tveganja na področju kibernetske varnosti in rezultate uporabljate pri odločitvah o zasnovi, razvoju, konfiguraciji izdelkov in upravljanju komponent?

2.2Ali so izdelki od samega začetka zasnovani po načelih vgrajene varnosti?

2.3Ali so izdelki dobavljeni s privzeto varnimi konfiguracijami in nastavitvami?

2.4Ali pred objavo ali posodobitvijo izdelka izvajate varnostne preglede in preizkušanje ter v kolikšni meri pri tem uporabljate avtomatizirana orodja?

2.5Ali se ob spremembi tveganj ali pojavu novih groženj ocene tveganja, konfiguracije in komponente tretjih oseb pregledajo in posodobijo?

3.1Ali imate vzpostavljen postopek za sprejem, potrditev, evidentiranje in sledenje ranljivostim, ki jih prijavijo stranke, raziskovalci ali notranje osebje?

3.2Ali imate opredeljen postopek za pripravo, preizkušanje, dostavo in obveščanje strank o varnostnih posodobitvah za podprte izdelke?

3.3Ali vzdržujete in uporabljate SBOM za podporo upravljanju ranljivosti in odvisnosti?

3.4Ali se ranljivosti in posodobitve razvrščajo po prednosti glede na tveganje in morebiten vpliv?

3.5Ali preverjate, da varnostne posodobitve dejansko odpravijo prijavljene ranljivosti, in hranite dokazila o tem preverjanju?

4.1Ali obstaja opredeljen pristop k upravljanju varnosti izdelkov v operativni fazi?

4.2Ali se upravljanje življenjskega cikla izdelka aktivno vodi, vključno z opredeljenimi obdobji podpore, odgovornostmi za posodobitve, ureditvijo konca podpore in komunikacijo s strankami?

4.3Ali se izkušnje iz delovanja izdelkov, pregledov po incidentih in povratnih informacij strank uporabljajo za sprotno izboljševanje izdelkov?

4.4Ali obstaja strukturiran in preizkušen način za obravnavo ugotovljenih varnostnih težav izdelkov?

4.5Ali se izdelki med delovanjem spremljajo za odkrivanje varnostnih tveganj, ranljivosti in nastajajočih groženj?

5.1Ali so na voljo zadostna znanja za varno zasnovo, razvoj in vzdrževanje izdelkov, po potrebi tudi z zunanjimi strokovnjaki, kadar so notranje zmogljivosti omejene?

5.2Ali ustrezno osebje prejema primerno usposabljanje o praksah kibernetske varnosti, relevantnih za njihove vloge, vključno z upravljanjem tveganj izdelkov, upravljanjem ranljivosti in vgrajeno varnostjo?

5.3Ali organizacija spodbuja kulturo odgovornega razvoja izdelkov, odprtega poročanja in ozaveščenosti o tveganjih izdelkov?

5.4Ali spremljate relevantne zunanje informacije o varnosti izdelkov (npr. varnostna obvestila, opozorila)?

5.5Ali ocenjujete in preverjate, ali ima vaša ekipa potrebna znanja in usposobljenost za vzdrževanje varnih izdelkov?