Cyber Resilience Act.
Fejlesszen biztonságos digitális elemeket tartalmazó termékeket, kezelje a sérülékenységeket, és készítse elő a megfelelő megfelelőségigazolást.
- (EU) 2024/2847 rendelet
- Szerző: Derya Altinay
- Állapot: 2026. 10. 22.
- Olvasási idő: 8 perc
Rövid válasz.
A Cyber Resilience Act az érintett, digitális elemeket tartalmazó termékek kiberbiztonságáról szóló uniós rendelet. A gyártók a fejlesztés, a forgalmazás és a támogatás során egyaránt felelnek a biztonságért. A gyártói bejelentési kötelezettségek 2026. szeptember 11. óta, az általános termékkötelezettségek 2027. december 11-től alkalmazandók. Az alapot az (EU) 2024/2847 rendelet adja.
A Cyber Resilience Act és a CRA határidői.
A Cyber Resilience Act, röviden CRA vagy kiberrezilienciáról szóló rendelet, a termékek kiberbiztonságát szabályozza. Az (EU) 2024/2847 rendelet a tervezési követelményeket a termék életciklusa alatti kötelezettségekkel kapcsolja össze. A vizsgálat tárgya a konkrét termék, beleértve a releváns összetevőket és a kapcsolódó távoli adatfeldolgozást. Egy vállalati szintű biztonsági program támogathatja ezt a munkát, de önmagában nem válaszolja meg a termékspecifikus kérdéseket.
A CRA határidői lépcsőzetesen érvényesülnek. A CRA 71. cikkének (2) bekezdése szerint az általános követelmények 2027. december 11-től alkalmazandók; a 14. cikk szerinti gyártói bejelentések már 2026. szeptember 11. óta kötelezők. A megfelelőségértékelő szervezetek bejelentéséről szóló IV. fejezet 2026. június 11. óta alkalmazandó. Ez az intézményi időpont nem valamennyi szoftvertermékre vonatkozó, előrehozott általános CE-határnap.
A régebbi termékek nem általánosan mentesek a gyártói bejelentések alól. A CRA 69. cikkének (2) és (3) bekezdése külön kezeli a termékmegfelelőség átmeneti szabályait és a bejelentéseket. A Bizottság C(2026) 5252 iránymutatásának 9.1. szakasza a 2027 decembere előtt forgalomba hozott termékekre is kifejti ezt a különbséget. Az iránymutatás jogilag nem kötelező értelmezési segítség; továbbra is a rendelet az irányadó.
Mely termékeket és vállalatokat érinti a CRA?
A CRA azokra az érintett hardver- és szoftvertermékekre vonatkozik, amelyeket az uniós piacon forgalmaznak, és amelyek egy eszközzel vagy hálózattal közvetlen vagy közvetett adatkapcsolatot irányoznak elő. A CRA 2. és 3. cikke határozza meg a hatályt és a fogalmakat. Ide önállóan kínált összetevők is tartozhatnak. Vizsgálja meg a tényleges funkciót és a törvényben meghatározott kivételeket, mielőtt a teljes portfóliót azonos módon sorolná be.
A vállalat szerepe határozza meg a kötelezettségeit. A gyártóknak, importőröknek és forgalmazóknak eltérő feladataik vannak; a gyártói szerep saját márka alatti forgalmazáskor is releváns lehet. Nyílt forráskódú szoftvereknél meg kell különböztetni a kereskedelmi forgalmazást, az egyéni hozzájárulásokat és a nyílt forráskódú szoftverek intézőjének különleges szerepét. Egy szabad licenc nem mentesíti általánosságban a kereskedelmi termék gyártóját a felelőssége alól.
Egy SaaS-szolgáltatás pusztán az értékesítési megnevezése miatt sem nem kerül a CRA hatálya alá, sem nem kerül azon kívülre. A termék határa és a kapcsolódó távoli adatfeldolgozás a döntő. A bizottsági iránymutatás 2. és 8. szakasza megkülönbözteti a szoftvertermékeket a távolról nyújtott szolgáltatásoktól. Rögzítse a konkrét architektúrára vonatkozó indoklást; egy valamennyi felhőajánlatra érvényes általános állítás túl tág lenne.
A CRA-követelmények fő területei.
A CRA-követelmények a kockázatalapú termékbiztonságot folyamatos felelősséggel kapcsolják össze. A CRA 13. cikke és I. melléklete adja a termékkötelezettségek alapját; a 14. cikk a korábban alkalmazandó gyártói bejelentéseket szabályozza. Az alábbi területek tájékozódást nyújtanak, de nem helyettesítik az egyes jogszabályi követelményeket.
A termék és a kockázatok megismerése.
A kiberbiztonsági kockázatértékelés alapozza meg az életciklus biztonsági döntéseit. A gyártók figyelembe veszik a rendeltetésszerű és az észszerűen előrelátható használatot. Gyakorlati módon írja le a termék funkcióit, interfészeit és függőségeit, valamint azt, milyen következményekkel járhat egy biztonsági probléma a felhasználóira.
A biztonság beépítése a termékbe.
A biztonságos tervezés és a biztonságos alapbeállítások összetartoznak. A CRA I. melléklete olyan terméktulajdonságokat foglal magában, mint a hozzáférés védelme, az adatok védelme és a támadási felületek korlátozása. Egy utólag megírt szabályzat nem helyettesítheti a technikai tulajdonságokat; a fejlesztési döntéseknek és ellenőrzésüknek illeszkedniük kell a kockázatértékeléshez.
Összetevők felelős beépítése.
A beépített összetevők a termékvizsgálat részei maradnak. A gyártóknak követhető információra van szükségük arról, mit szállítanak, és a függőségek sérülékenységei hogyan érintik terméküket. A Bizottság kifejezetten tárgyalja a harmadik féltől származó összetevőkkel kapcsolatos kellő gondosságot; egy beszállítói tájékoztatás puszta továbbítása nem válaszol meg minden termékkérdést.
A sérülékenységek és frissítések kezelése.
A sérülékenységek kezelése folyamatos feladat az irányadó támogatási időszakban. Ide tartoznak az elérhető bejelentési csatornák, az értékelés, az elhárítás és a biztonsági frissítések biztonságos rendelkezésre bocsátása. Különítse el egy megállapítás technikai kezelését annak jogi értékelésétől, hogy egy aktívan kihasznált sérülékenység vagy súlyos incidens bejelentésköteles-e.
A támogatás és felhasználói tájékoztatás meghatározása.
A támogatási időszak a CRA 13. cikkének (8) bekezdésében szereplő kritériumokhoz és a várható használathoz igazodik. Főszabály szerint legalább öt év; rövidebb várható használat esetén annak időtartama érvényes, hosszabb várható használatnál pedig hosszabb időszak lehet szükséges. A bizottsági iránymutatás 5. szakasza kifejezetten tisztázza, hogy az öt év nem általános felső határ.
A gyártói bejelentések lehetővé tétele.
A CRA 14. cikke különbséget tesz az aktívan kihasznált sérülékenységek és a súlyos biztonsági incidensek között. A gyártókra többlépcsős bejelentés vonatkozik: haladéktalanul, legkésőbb a tudomásszerzéstől számított 24 órán belül korai figyelmeztetés, 72 órán belül további adatok. A lezárási határidők a kiváltó októl függően eltérnek. Egy szkenner megállapítása ezért önmagában sem nem jelent automatikusan kötelező bejelentést, sem nem elegendő az esemény lezárásához.
A megfelelőség és dokumentáció előkészítése.
A műszaki dokumentációnak és a megfelelőségértékelésnek a kínált terméket kell bemutatnia. A CRA 32. cikke és a termékkategória határozza meg a megengedett eljárást. A választott értékelési alapot a termék verziójával együtt rögzítse; egy általános dokumentumgyűjtemény, a vizsgált kivitelhez való követhető kapcsolat nélkül, nem elegendő gyakorlati igazolási stratégiaként.
A CRA megvalósítása termékfolyamatként.
A portfólió és a szerepek lehatárolása.
Gyakorlati kezdésként mérje fel a kínált termékeket, releváns funkcióikat, a felelős jogalanyt és az egyes értékesítési csatornákban betöltött szerepet.
Az alkalmazási szakaszok elkülönítése.
Különítse el a már hatályos gyártói bejelentési felkészültséget az általános termékmegfelelőség előkészítésétől, és vizsgálja meg a meglévő termékek átmeneti szabályait.
A kockázatok termékdöntésekké alakítása.
Kapcsolja össze a kockázatértékelést a tervezéssel, az összetevők kiválasztásával és a fejlesztéshez, illetve kiadáshoz tartozó ellenőrizhető biztonsági kritériumokkal.
A bejelentési útvonalak gyakorlása.
Jelöljön ki felelősöket és helyetteseket, és gyakorolja hiányos információkkal az értékelést, eszkalációt és továbbítást az alkalmazandó határidőkön belül.
A támogatás és az igazolási út meghatározása.
Tervezze meg a támogatott termékverziók karbantartását, és a kategória alapján tisztázza, milyen megfelelőségértékelés és műszaki dokumentáció válik szükségessé.
Szoftverek CE-jelölése és a termék igazolása.
A CRA szerinti igazolás termékre vonatkozó megfelelőségértékelés. A Bizottság a CRA 32. cikkéhez kapcsolódóan kifejti, hogy a standard kategóriában lehetséges a belső értékelés. Bizonyos fontos vagy kritikus termékekre szigorúbb eljárások érvényesek bejelentett szervezettel vagy más, az adott esetben megengedett igazolási úttal. A tényleges termékfunkció dönti el a kategóriát; egy reklámcélú terméknév ehhez nem elegendő.
Az EU-megfelelőségi nyilatkozat és a CE-jelölés az alkalmazandó eljárást követi. Nem jelentenek általános tanúsítványt az egész vállalatnak, és nem ígérik, hogy egy terméknek soha nem lesz sérülékenysége. Ezért a CRA nem írható le egységes tanúsítvány-érvényességgel: a dokumentációt, a sérülékenységkezelést és a mindenkor alkalmazandó kötelezettségeket az irányadó életcikluson át kell vizsgálni.
Más keretrendszerek és önálló kötelezettségek.
Az ISO 27001 az információbiztonság-irányítási rendszert szervezi meg; a megfelelő tanúsítvány önmagában nem igazolja egy termék CRA-megfelelőségét. A NIS2 az érintett szervezeteket és biztonsági szervezetüket vizsgálja. A GDPR a személyes adatokat védi, így egy terméket érintő esemény további adatvédelmi kérdéseket vethet fel. A kapcsolódó munkafolyamatok összehangolhatók, de jogi kiváltó okaikat és bizonyítékaikat külön kell vizsgálni.
A Secaniban.
A Secani saját szerkesztésű CRA-munkakatalógust tartalmaz forrásokkal, ellenőrző kérdésekkel és bizonyítékpéldákkal. A vállalati profil többek között szerepeket és értékelési dátumot rögzít; a tisztázatlan előfeltételek vizsgálati igényként láthatók maradnak. A segédlet támogatja a vizsgálat megszervezését, de sem a jogi besorolást, sem a termék megfelelőségét nem igazolja.
Induljon egy lehatárolt termékkel.
Válasszon egy konkrét terméket, és először tisztázza annak határát, a felelős jogalanyt és a biztonsági bejelentésekért felelős személyeket. Ezután vizsgálja meg, milyen jelenlegi és jövőbeli kötelezettségek érintik ezt a terméket. Ez a kezdés átláthatóvá teszi a felkészülést, és megakadályozza, hogy egy általános megfelelőségi projekt elfedje a már szükséges bejelentési felkészültséget.
Források.
- (EU) 2024/2847 rendelet – Cyber Resilience Act
- Európai Bizottság: Cyber Resilience Act és az alkalmazás időpontjai
- Európai Bizottság: a jogi aktus összefoglalása
- Európai Bizottság: gyártói kötelezettségek
- Európai Bizottság: megfelelőségértékelés
- Európai Bizottság: CRA és nyílt forráskód
- Európai Bizottság: C(2026) 5252 iránymutatás melléklettel
Gyakori kérdések.
Igen, az érintett gyártókra 2026. szeptember 11. óta vonatkoznak a CRA 14. cikke szerinti bejelentések. Az általános termékkötelezettségek 2027. december 11-től alkalmazandók; a különleges szerepeket és átmeneti szabályokat külön kell vizsgálni.
Nem, a SaaS megnevezés nem dönti el a hatályt. Vizsgálja meg a szoftverterméket, annak funkcióit és a kapcsolódó távoli adatfeldolgozást a konkrét architektúra alapján.
Nem, az előzetes nyílt forráskódú hozzájárulások különleges kezelése nem mentesíti általánosságban a kereskedelmi termék gyártóját a kötelezettségei alól. A gyártói szerepet és az esetleges intézői szerepet meg kell különböztetni.
Nem, az ISO 27001 tanúsítvány egy lehatárolt irányítási rendszerre vonatkozik. A CRA a termék külön vizsgálatát és az adott esetben alkalmazandó megfelelőségigazolást követeli meg.
Szervezze meg követhetően a termékbiztonságot.
Dolgozza fel strukturáltan a CRA-követelményeket és vizsgálatukat a Secanival.
Ez az oldal általánosságban ismerteti a Cyber Resilience Actet, és nem helyettesíti az egyes termékek jogi vizsgálatát. A hatályos jogi aktusok az irányadók.