Kibernetinio atsparumo aktas.
Saugiai kurkite produktus su skaitmeniniais elementais, tvarkykite pažeidžiamumus ir pasirenkite tinkamam atitikties įrodymui.
- Reglamentas (ES) 2024/2847
- Autorius: Derya Altinay
- Aktualu: 2026-10-22
- Skaitymo trukmė: 7 min.
Trumpas atsakymas.
Kibernetinio atsparumo aktas yra ES reglamentas dėl produktų su skaitmeniniais elementais, kuriems jis taikomas, kibernetinio saugumo. Gamintojai atsako už saugumą kuriant, tiekiant ir palaikant produktą. Gamintojų pranešimo pareigos taikomos nuo 2026 m. rugsėjo 11 d.; bendrosios produktų pareigos – nuo 2027 m. gruodžio 11 d. Pagrindas – Reglamentas (ES) 2024/2847.
Kibernetinio atsparumo aktas ir CRA terminai.
Kibernetinio atsparumo aktas, trumpai CRA arba Kibernetinio atsparumo reglamentas, reguliuoja produktų kibernetinį saugumą. Reglamentas (ES) 2024/2847 susieja projektavimo reikalavimus su pareigomis per visą produkto gyvavimo ciklą. Nagrinėjamas konkretus produktas, įskaitant atitinkamus komponentus ir susijusį nuotolinį duomenų tvarkymą. Visos įmonės saugumo programa gali padėti šiam darbui, tačiau viena neatsako į konkretaus produkto klausimus.
CRA terminai taikomi etapais. Pagal CRA 71 straipsnio 2 dalį bendrieji reikalavimai pradedami taikyti 2027 m. gruodžio 11 d.; gamintojų pranešimai pagal 14 straipsnį jau taikomi nuo 2026 m. rugsėjo 11 d. IV skyrius dėl atitikties vertinimo įstaigų notifikavimo taikomas nuo 2026 m. birželio 11 d. Ši institucijoms skirta data nėra paankstintas bendras visų programinės įrangos produktų CE terminas.
Senesni produktai nėra bendrai atleisti nuo gamintojų pranešimų. CRA 69 straipsnio 2 ir 3 dalyse atskiriamos pereinamojo laikotarpio produktų atitikties taisyklės ir pranešimai. Komisijos gairių C(2026) 5252 9.1 skirsnyje šis skirtumas paaiškinamas ir produktams, pateiktiems rinkai iki 2027 m. gruodžio. Gairės yra teisiškai neprivaloma aiškinimo priemonė; lemiamas lieka reglamentas.
Kuriems produktams ir įmonėms taikomas CRA.
CRA taikomas atitinkamiems ES rinkai tiekiamiems aparatinės ir programinės įrangos produktams, kuriuose numatytas tiesioginis ar netiesioginis duomenų ryšys su įrenginiu ar tinklu. CRA 2 ir 3 straipsniai nustato taikymo sritį ir sąvokas. Tai gali apimti atskirai siūlomus komponentus. Prieš vienodai klasifikuodami visą asortimentą patikrinkite tikrąją funkciją ir įstatyme numatytas išimtis.
Įmonės vaidmuo lemia jos pareigas. Gamintojų, importuotojų ir platintojų užduotys skiriasi; gamintojo vaidmuo gali tapti aktualus ir prekiaujant savo prekės ženklu. Atvirojo kodo programinei įrangai reikia atskirti komercinį tiekimą, atskirų asmenų indėlį ir specialų atvirojo kodo programinės įrangos administratoriaus vaidmenį. Laisvoji licencija bendrai neatleidžia komercinio produkto gamintojo nuo atsakomybės.
SaaS paslauga nepatenka į CRA taikymo sritį ir nėra iš jos pašalinama vien dėl savo prekybinio pavadinimo. Svarbios produkto ribos ir susijęs nuotolinis duomenų tvarkymas. Komisijos gairių 2 ir 8 skirsniuose programinės įrangos produktai atskiriami nuo nuotoliniu būdu teikiamų paslaugų. Užfiksuokite konkrečios architektūros pagrindimą; bendras teiginys apie visus debesijos pasiūlymus būtų per platus.
Pagrindinės CRA reikalavimų sritys.
CRA reikalavimai susieja rizika pagrįstą produkto saugumą su nuolatine atsakomybe. CRA 13 straipsnis ir I priedas sudaro produktų pareigų pagrindą; 14 straipsnis reguliuoja anksčiau įsigaliojančius gamintojų pranešimus. Toliau pateiktos sritys padeda orientuotis, tačiau nepakeičia atskirų teisinių reikalavimų.
Supraskite produktą ir riziką.
Kibernetinio saugumo rizikos vertinimas pagrindžia saugumo sprendimus per gyvavimo ciklą. Gamintojai atsižvelgia į numatytą ir pagrįstai numatomą naudojimą. Praktiškai aprašykite, kokias funkcijas, sąsajas ir priklausomybes turi produktas ir kokias pasekmes saugumo problema gali turėti jo naudotojams.
Numatykite saugumą pačiame produkte.
Saugus projektavimas ir saugūs numatytieji nustatymai turi derėti. CRA I priedas apima tokias produkto savybes kaip prieigos apsauga, duomenų apsauga ir atakos paviršiaus ribojimas. Vėliau parašyta politika negali pakeisti techninių savybių; kūrimo sprendimai ir jų patikrinimas turi atitikti rizikos vertinimą.
Atsakingai integruokite komponentus.
Integruoti komponentai lieka produkto vertinimo dalimi. Gamintojams reikia atsekamos informacijos apie tai, ką jie pateikia ir kaip priklausomybių pažeidžiamumai veikia jų produktą. Komisija aiškiai aprašo deramą rūpestingumą trečiųjų šalių komponentų atžvilgiu; vien tiekėjo informacijos persiuntimas neatsako į visus produkto klausimus.
Tvarkykite pažeidžiamumus ir naujinius.
Pažeidžiamumų tvarkymas yra nuolatinė užduotis per atitinkamą palaikymo laikotarpį. Ji apima pasiekiamus pranešimo kanalus, vertinimą, šalinimą ir saugų saugumo naujinių pateikimą. Atskirkite techninį nustatyto trūkumo tvarkymą nuo teisinio vertinimo, ar apie aktyviai išnaudojamą pažeidžiamumą arba didelį incidentą privaloma pranešti.
Nustatykite palaikymą ir informaciją naudotojams.
Palaikymo laikotarpis nustatomas pagal CRA 13 straipsnio 8 dalies kriterijus ir numatomą naudojimą. Iš esmės numatyti bent penkeri metai; jei numatomas naudojimas trumpesnis, taikoma jo trukmė, o jei ilgesnis, gali reikėti ilgesnio laikotarpio. Komisijos gairių 5 skirsnyje aiškiai paaiškinta, kad penkeri metai nėra bendra maksimali riba.
Užtikrinkite gamintojų pranešimų teikimą.
CRA 14 straipsnis atskiria aktyviai išnaudojamus pažeidžiamumus nuo didelių saugumo incidentų. Gamintojams taikomas etapinis pranešimas: nedelsiant, bet ne vėliau kaip per 24 valandas nuo sužinojimo pateikiamas ankstyvasis perspėjimas, o per 72 valandas – papildomi duomenys. Galutiniai terminai priklauso nuo priežasties. Todėl vien skenerio radinys nėra nei automatiškai privalomas pranešimas, nei pakankamas pagrindas įvykį užbaigti.
Pasirenkite atitikčiai ir dokumentacijai.
Techninė dokumentacija ir atitikties vertinimas turi paaiškinti siūlomą produktą. Leidžiamą procedūrą lemia CRA 32 straipsnis ir produkto kategorija. Pasirinktą vertinimo pagrindą saugokite kartu su produkto versija; bendras dokumentų rinkinys be atsekamo ryšio su patikrinta versija nėra pakankama praktinė įrodymų strategija.
CRA įgyvendinimas kaip produkto procesas.
Apibrėžkite asortimentą ir vaidmenis.
Pradėkite užfiksuodami siūlomus produktus, jų svarbias funkcijas, atsakingą juridinį asmenį ir vaidmenį konkrečiame platinimo kanale.
Atskirkite taikymo etapus.
Atskirkite jau privalomą gamintojo pasirengimą pranešti nuo pasirengimo bendrajai produkto atitikčiai ir patikrinkite esamiems produktams skirtas pereinamąsias nuostatas.
Perkelkite riziką į produkto sprendimus.
Susiekite rizikos vertinimą su projektavimu, komponentų pasirinkimu ir patikrinamais saugumo kriterijais kūrimui bei išleidimui.
Išbandykite pranešimo kanalus.
Paskirkite atsakingus ir juos pavaduojančius asmenis bei išbandykite vertinimą, eskalavimą ir pateikimą su nepilna informacija per taikomus terminus.
Nustatykite palaikymą ir atitikties įrodymo kelią.
Suplanuokite palaikomų produkto versijų priežiūrą ir pagal kategoriją išsiaiškinkite, kokio atitikties vertinimo ir techninės dokumentacijos reikės.
Programinės įrangos CE ženklinimas ir produkto įrodymai.
CRA įrodymas yra konkretaus produkto atitikties vertinimas. Komisija, aiškindama CRA 32 straipsnį, nurodo, kad standartinei kategorijai galimas vidinis vertinimas. Tam tikriems svarbiems ar ypatingos svarbos produktams taikomos griežtesnės procedūros su notifikuotąja įstaiga arba kiti leidžiami įrodymo būdai. Kategoriją lemia tikroji produkto funkcija; reklaminio produkto pavadinimo tam nepakanka.
ES atitikties deklaracija ir CE ženklinimas atliekami pagal taikomą procedūrą. Tai nėra bendras visos įmonės sertifikatas ar pažadas, kad produktas niekada neturės pažeidžiamumų. Todėl vienoda sertifikato galiojimo trukmė netinka CRA apibūdinti: dokumentaciją, pažeidžiamumų tvarkymą ir tuo metu taikomas pareigas reikia vertinti per atitinkamą gyvavimo ciklą.
Kitos sistemos ir savarankiškos pareigos.
ISO 27001 organizuoja informacijos saugumo vadybos sistemą; atitinkamas sertifikatas vienas nepatvirtina produkto CRA atitikties. NIS2 nagrinėja subjektus, kuriems ji taikoma, ir jų saugumo organizavimą. BDAR saugo asmens duomenis, todėl produkto įvykis gali sukelti papildomų duomenų apsaugos klausimų. Susijusius procesus galima koordinuoti, tačiau jų teisinius pagrindus ir įrodymus reikia tikrinti atskirai.
„Secani“ sistemoje.
„Secani“ turi redakcinį CRA darbo katalogą su šaltiniais, vertinimo klausimais ir įrodymų pavyzdžiais. Įmonės profilyje, be kita ko, fiksuojami vaidmenys ir vertinimo data; neaiškios sąlygos lieka matomos kaip patikros poreikis. Ši pagalbinė priemonė padeda organizuoti vertinimą, tačiau nepatvirtina nei teisinio klasifikavimo, nei produkto atitikties.
Pradėkite nuo apibrėžto produkto.
Pasirinkite konkretų produktą ir pirmiausia išsiaiškinkite jo ribas, atsakingą juridinį asmenį ir už saugumo pranešimus atsakingus žmones. Tada patikrinkite, kokios dabartinės ir būsimos pareigos taikomos šiam produktui. Tokia pradžia leidžia valdyti pasirengimo apimtį ir neleidžia bendram atitikties projektui užgožti jau būtino pasirengimo teikti pranešimus.
Šaltiniai.
- Reglamentas (ES) 2024/2847 – Kibernetinio atsparumo aktas
- Europos Komisija: Kibernetinio atsparumo aktas ir taikymo datos
- Europos Komisija: teisės akto santrauka
- Europos Komisija: gamintojų pareigos
- Europos Komisija: atitikties vertinimas
- Europos Komisija: CRA ir atvirasis kodas
- Europos Komisija: gairės C(2026) 5252 su priedu
Dažniausi klausimai.
Taip, atitinkamiems gamintojams pranešimai pagal CRA 14 straipsnį taikomi nuo 2026 m. rugsėjo 11 d. Bendrosios produktų pareigos prasideda 2027 m. gruodžio 11 d.; specialius vaidmenis ir pereinamąsias nuostatas reikia tikrinti atskirai.
Ne, pavadinimas SaaS taikymo srities nenustato. Pagal konkrečią architektūrą patikrinkite programinės įrangos produktą, jo funkcijas ir susijusį nuotolinį duomenų tvarkymą.
Ne, ypatingas ankstesnių atvirojo kodo įnašų traktavimas bendrai neatleidžia komercinio produkto gamintojo nuo jo pareigų. Gamintojo ir galimo administratoriaus vaidmenis būtina atskirti.
Ne, ISO 27001 sertifikatas susijęs su apibrėžta vadybos sistema. CRA reikalauja atskiro produkto vertinimo ir atitinkamo taikomo atitikties įrodymo.
Atsekamai organizuokite produkto saugumą.
Struktūruotai tvarkykite CRA reikalavimus ir jų tikrinimą su „Secani“.
Šiame puslapyje Kibernetinio atsparumo aktas paaiškinamas bendrai; jis nepakeičia atskiro produkto teisinio vertinimo. Lemiamą reikšmę turi galiojantys teisės aktai.