Akt o kibernetičkoj otpornosti.
Sigurno razvijajte proizvode s digitalnim elementima, upravljajte ranjivostima i pripremite odgovarajući dokaz sukladnosti.
- Uredba (EU) 2024/2847
- Autor: Derya Altinay
- Stanje: 22. 10. 2026.
- Vrijeme čitanja: 7 min.
Kratak odgovor.
Akt o kibernetičkoj otpornosti uredba je EU-a o kibernetičkoj sigurnosti obuhvaćenih proizvoda s digitalnim elementima. Proizvođači odgovaraju za sigurnost tijekom razvoja, stavljanja na raspolaganje i podrške. Obveze prijavljivanja proizvođača vrijede od 11. rujna 2026., a opće obveze za proizvode od 11. prosinca 2027. Osnova je Uredba (EU) 2024/2847.
Akt o kibernetičkoj otpornosti i rokovi CRA-a.
Akt o kibernetičkoj otpornosti, skraćeno CRA, uređuje kibernetičku sigurnost proizvoda. Uredba (EU) 2024/2847 povezuje zahtjeve za projektiranje s obvezama tijekom životnog ciklusa proizvoda. Predmet razmatranja konkretan je proizvod, uključujući relevantne komponente i povezanu udaljenu obradu podataka. Sigurnosni program cijelog poduzeća može poduprijeti taj rad, ali sam ne odgovara na pitanja pojedinog proizvoda.
Rokovi CRA-a primjenjuju se postupno. Prema članku 71. stavku 2. CRA-a opći zahtjevi počinju 11. prosinca 2027.; prijavljivanje proizvođača prema članku 14. vrijedi već od 11. rujna 2026. Poglavlje IV. o prijavljivanju tijela za ocjenjivanje sukladnosti primjenjuje se od 11. lipnja 2026. Taj institucionalni datum nije raniji opći rok za oznaku CE svih softverskih proizvoda.
Stariji proizvodi nisu općenito izuzeti od prijavljivanja proizvođača. Članak 69. stavci 2. i 3. CRA-a razlikuju prijelazna pravila za sukladnost proizvoda od prijavljivanja. Smjernice Komisije C(2026) 5252, odjeljak 9.1, objašnjavaju tu razliku i za proizvode stavljene na tržište prije prosinca 2027. Smjernice su pravno neobvezujuća pomoć pri tumačenju; mjerodavna ostaje Uredba.
Koji su proizvodi i poduzeća obuhvaćeni CRA-om.
CRA se odnosi na obuhvaćene hardverske i softverske proizvode koji se stavljaju na raspolaganje na tržištu EU-a i predviđaju izravnu ili neizravnu podatkovnu vezu s uređajem ili mrežom. Članci 2. i 3. CRA-a određuju područje primjene i pojmove. To može uključivati samostalno ponuđene komponente. Provjerite stvarnu funkciju i zakonske iznimke prije nego što cijeli portfelj jednako klasificirate.
Uloga poduzeća određuje njegove obveze. Proizvođači, uvoznici i distributeri imaju različite zadaće; uloga proizvođača može biti relevantna i pri prodaji pod vlastitom robnom markom. Za softver otvorenog koda treba razlikovati komercijalno stavljanje na raspolaganje, doprinose pojedinaca i posebnu ulogu upravitelja softvera otvorenog koda. Slobodna licencija ne oslobađa općenito proizvođača komercijalnog proizvoda njegove odgovornosti.
SaaS usluga nije obuhvaćena CRA-om niti je iz njega isključena samo zbog svojeg tržišnog naziva. Presudne su granice proizvoda i povezana udaljena obrada podataka. Smjernice Komisije, odjeljci 2 i 8, razlikuju softverske proizvode od usluga pruženih na daljinu. Zabilježite obrazloženje za konkretnu arhitekturu; opća tvrdnja o svim ponudama u oblaku bila bi preširoka.
Glavna područja zahtjeva CRA-a.
Zahtjevi CRA-a povezuju sigurnost proizvoda temeljenu na rizicima s trajnom odgovornošću. Članak 13. i Prilog I. CRA-a temelj su obveza za proizvode; članak 14. uređuje ranije primjenjivo prijavljivanje proizvođača. Sljedeća područja pružaju orijentaciju bez zamjene pojedinačnih zakonskih zahtjeva.
Razumijte proizvod i rizike.
Procjena kibernetičkih sigurnosnih rizika podupire sigurnosne odluke tijekom životnog ciklusa. Proizvođači uzimaju u obzir predviđenu i razumno predvidivu uporabu. Praktično opišite funkcije, sučelja i ovisnosti proizvoda te moguće posljedice sigurnosnog problema za korisnike.
Ugradite sigurnost u proizvod.
Sigurno projektiranje i sigurne zadane postavke idu zajedno. Prilog I. CRA-a obuhvaća svojstva proizvoda poput zaštite pristupa, zaštite podataka i ograničavanja površine napada. Naknadno napisana smjernica ne može zamijeniti tehnička svojstva; razvojne odluke i njihova provjera moraju odgovarati procjeni rizika.
Odgovorno uključujte komponente.
Integrirane komponente ostaju dio razmatranja proizvoda. Proizvođači trebaju sljedive informacije o isporučenom sadržaju i utjecaju ranjivosti u ovisnostima na njihov proizvod. Komisija izričito opisuje dužnu pažnju prema komponentama trećih strana; samo prosljeđivanje dobavljačeva odgovora ne rješava svako pitanje proizvoda.
Upravljajte ranjivostima i ažuriranjima.
Postupanje s ranjivostima trajna je zadaća tijekom mjerodavnog razdoblja podrške. To uključuje dostupne kanale prijave, procjenu, otklanjanje i sigurnu isporuku sigurnosnih ažuriranja. Odvojite tehničku obradu nalaza od pravne procjene podliježe li aktivno iskorištavana ranjivost ili ozbiljan incident obvezi prijavljivanja.
Odredite podršku i informacije za korisnike.
Razdoblje podrške temelji se na kriterijima članka 13. stavka 8. CRA-a i očekivanoj uporabi. Načelno je predviđeno najmanje pet godina; ako se očekuje kraća uporaba, vrijedi njezino trajanje, a pri duljoj uporabi može biti potrebno dulje razdoblje. Smjernice Komisije, odjeljak 5, izričito objašnjavaju da pet godina nije opća gornja granica.
Omogućite prijavljivanje proizvođača.
Članak 14. CRA-a razlikuje aktivno iskorištavane ranjivosti od ozbiljnih sigurnosnih incidenata. Za proizvođače vrijede postupne prijave: bez odgode, najkasnije unutar 24 sata rano upozorenje i unutar 72 sata dodatne informacije od saznanja. Završni rokovi razlikuju se prema povodu. Sam nalaz skenera zato nije automatski obvezna prijava ni dovoljan razlog za zatvaranje događaja.
Pripremite sukladnost i dokumentaciju.
Tehnička dokumentacija i ocjenjivanje sukladnosti moraju objasniti ponuđeni proizvod. Članak 32. CRA-a i kategorija proizvoda određuju dopušteni postupak. Odabranu osnovu ocjenjivanja povežite s verzijom proizvoda; opća zbirka dokumenata bez sljedive veze s provjerenom izvedbom nije dovoljna praktična strategija dokazivanja.
Provedba CRA-a kao proces proizvoda.
Odredite portfelj i uloge.
Kao praktičan početak evidentirajte ponuđene proizvode, njihove relevantne funkcije, odgovornu pravnu osobu i ulogu u pojedinom prodajnom kanalu.
Razlikujte faze primjene.
Odvojite već važeću spremnost proizvođača za prijavljivanje od pripreme opće sukladnosti proizvoda i provjerite prijelazna pravila za postojeće proizvode.
Prenesite rizike u odluke o proizvodu.
Povežite procjenu rizika s projektiranjem, odabirom komponenti i provjerljivim sigurnosnim kriterijima za razvoj i odobrenje.
Uvježbajte kanale prijavljivanja.
Imenujte odgovorne osobe i zamjene te uvježbajte procjenu, eskalaciju i dostavu s nepotpunim informacijama u primjenjivim rokovima.
Odredite podršku i način dokazivanja.
Planirajte održavanje podržanih verzija proizvoda i prema kategoriji razjasnite potrebno ocjenjivanje sukladnosti i tehničku dokumentaciju.
Oznaka CE za softver i dokazivanje proizvoda.
Dokaz za CRA jest ocjenjivanje sukladnosti konkretnog proizvoda. Komisija uz članak 32. CRA-a objašnjava da je za standardnu kategoriju moguća interna procjena. Za određene važne ili kritične proizvode vrijede stroži postupci s prijavljenim tijelom ili drugim dopuštenim načinima dokazivanja. Stvarna funkcija proizvoda određuje kategoriju; promotivni naziv nije dovoljan.
EU izjava o sukladnosti i oznaka CE slijede primjenjivi postupak. Nisu opći certifikat za cijelo poduzeće ni obećanje da proizvod nikada neće imati ranjivost. Zato jedinstveno trajanje certifikata nije prikladan opis CRA-a: dokumentaciju, postupanje s ranjivostima i primjenjive obveze treba razmatrati tijekom mjerodavnog životnog ciklusa.
Drugi okviri i zasebne obveze.
ISO 27001 organizira sustav upravljanja informacijskom sigurnošću; odgovarajući certifikat sam ne potvrđuje sukladnost proizvoda s CRA-om. NIS2 razmatra obuhvaćene subjekte i njihovu sigurnosnu organizaciju. GDPR štiti osobne podatke, zbog čega događaj vezan uz proizvod može pokrenuti dodatna pitanja zaštite podataka. Povezani postupci mogu se koordinirati, ali njihove pravne povode i dokaze treba provjeriti zasebno.
U Secaniju.
Secani sadrži urednički radni katalog CRA-a s izvorima, pitanjima provjere i primjerima dokaza. Profil poduzeća evidentira, među ostalim, uloge i datum procjene; nerazjašnjeni preduvjeti ostaju vidljivi kao potreba za provjerom. Pomagalo podupire organizaciju provjere, ali ne potvrđuje pravnu klasifikaciju ni sukladnost proizvoda.
Počnite s jasno određenim proizvodom.
Odaberite konkretan proizvod i najprije razjasnite njegove granice, odgovornu pravnu osobu i osobe nadležne za sigurnosne prijave. Zatim provjerite koje sadašnje i buduće obveze obuhvaćaju taj proizvod. Takav početak čini pripremu izvedivom i sprječava da opći projekt usklađenosti zakloni već potrebnu spremnost za prijavljivanje.
Izvori.
- Uredba (EU) 2024/2847 – Akt o kibernetičkoj otpornosti
- Europska komisija: Akt o kibernetičkoj otpornosti i datumi primjene
- Europska komisija: sažetak pravnog akta
- Europska komisija: obveze proizvođača
- Europska komisija: ocjenjivanje sukladnosti
- Europska komisija: CRA i otvoreni kod
- Europska komisija: smjernice C(2026) 5252 s prilogom
Česta pitanja.
Da, za obuhvaćene proizvođače prijavljivanje prema članku 14. CRA-a vrijedi od 11. rujna 2026. Opće obveze za proizvode počinju 11. prosinca 2027.; posebne uloge i prijelazna pravila treba provjeriti zasebno.
Ne, naziv SaaS ne određuje područje primjene. Provjerite softverski proizvod, njegove funkcije i povezanu udaljenu obradu podataka prema konkretnoj arhitekturi.
Ne, poseban tretman prethodnih doprinosa otvorenog koda ne oslobađa općenito komercijalnog proizvođača proizvoda njegovih obveza. Treba razlikovati ulogu proizvođača i moguću ulogu upravitelja softvera otvorenog koda.
Ne, certifikat ISO 27001 odnosi se na određen sustav upravljanja. CRA zahtijeva zasebno razmatranje proizvoda i primjenjiv dokaz sukladnosti.
Sljedivo organizirajte sigurnost proizvoda.
Uz Secani strukturirano obrađujte zahtjeve CRA-a i njihovu provjeru.
Ova stranica općenito objašnjava Akt o kibernetičkoj otpornosti i ne zamjenjuje pravnu provjeru pojedinog proizvoda. Mjerodavni su važeći pravni akti.