Kibernoturības akts.
Droši izstrādājiet produktus ar digitāliem elementiem, pārvaldiet ievainojamības un sagatavojiet piemērotu atbilstības apliecinājumu.
- Regula (ES) 2024/2847
- Autors: Derya Altinay
- Aktualizēts: 22.10.2026
- Lasīšanas laiks: 7 min.
Īsā atbilde.
Kibernoturības akts ir ES regula aptverto produktu ar digitāliem elementiem kiberdrošībai. Ražotāji atbild par drošību izstrādes, piedāvāšanas un atbalsta laikā. Ražotāju ziņošanas pienākumi ir spēkā kopš 2026. gada 11. septembra; vispārējie produktu pienākumi — no 2027. gada 11. decembra. Pamats ir Regula (ES) 2024/2847.
Kibernoturības akts un CRA termiņi.
Kibernoturības akts jeb CRA ir regula, kas nosaka produktu kiberdrošību. Regula (ES) 2024/2847 sasaista projektēšanas prasības ar pienākumiem produkta aprites ciklā. Izvērtēšanas objekts ir konkrētais produkts, tostarp būtiskie komponenti un saistītā datu attālinātā apstrāde. Uzņēmuma mēroga drošības programma var palīdzēt šajā darbā, taču viena pati neatbild uz produktam specifiskajiem jautājumiem.
CRA termiņi piemērojami pakāpeniski. Saskaņā ar CRA 71. panta 2. punktu vispārējās prasības sāk piemērot 2027. gada 11. decembrī; ražotāju ziņošanas pienākumi saskaņā ar 14. pantu ir spēkā jau kopš 2026. gada 11. septembra. IV nodaļa par atbilstības novērtēšanas struktūru paziņošanu piemērojama kopš 2026. gada 11. jūnija. Šis institucionālais datums nav agrāks vispārējs CE termiņš visiem programmatūras produktiem.
Vecāki produkti nav vispārēji atbrīvoti no ražotāju ziņošanas. CRA 69. panta 2. un 3. punkts nošķir produktu atbilstības pārejas noteikumus no ziņošanas. Komisijas pamatnostādņu C(2026) 5252 9.1. sadaļa skaidro šo nošķīrumu arī produktiem, kas laisti tirgū pirms 2027. gada decembra. Pamatnostādnes ir juridiski nesaistošs interpretācijas palīglīdzeklis; noteicošā paliek regula.
Kurus produktus un uzņēmumus skar CRA.
CRA attiecas uz aptvertiem aparatūras un programmatūras produktiem, kas darīti pieejami ES tirgū un paredz tiešu vai netiešu datu savienojumu ar ierīci vai tīklu. CRA 2. un 3. pants nosaka piemērošanas jomu un jēdzienus. Tajā var ietilpt arī atsevišķi piedāvāti komponenti. Pirms visam portfelim piešķirat vienādu klasifikāciju, pārbaudiet faktiskās funkcijas un likumā paredzētos izņēmumus.
Uzņēmuma loma nosaka tā pienākumus. Ražotājiem, importētājiem un izplatītājiem ir atšķirīgi uzdevumi; ražotāja loma var būt būtiska arī, tirgojot produktu ar savu zīmolu. Atvērtā pirmkoda programmatūrai jānošķir komerciāla piedāvāšana, individuālu personu ieguldījumi un atvērtā pirmkoda pārvaldnieka īpašā loma. Brīva licence vispārēji neatbrīvo komerciāla produkta ražotāju no atbildības.
SaaS pakalpojums neietilpst CRA piemērošanas jomā vai neizkrīt no tās tikai sava izplatīšanas apzīmējuma dēļ. Izšķirošas ir produkta robežas un saistītā datu attālinātā apstrāde. Komisijas pamatnostādņu 2. un 8. sadaļa nošķir programmatūras produktus no attālināti sniegtiem pakalpojumiem. Fiksējiet konkrētās arhitektūras pamatojumu; vispārīgs apgalvojums par visiem mākoņpakalpojumiem būtu pārāk plašs.
CRA prasību galvenās jomas.
CRA prasības sasaista uz riskiem balstītu produktu drošību ar pastāvīgu atbildību. CRA 13. pants un I pielikums veido produktu pienākumu pamatu; 14. pants regulē agrāk piemērojamo ražotāju ziņošanu. Tālāk minētās jomas sniedz orientāciju, neaizstājot atsevišķās likuma prasības.
Izprast produktu un riskus.
Kiberdrošības risku novērtējums pamato drošības lēmumus visā aprites ciklā. Ražotāji ņem vērā paredzēto un saprātīgi paredzamo izmantošanu. Praktiski aprakstiet produkta funkcijas, saskarnes un atkarības un to, kādas sekas drošības problēma var radīt lietotājiem.
Paredzēt drošību produktā.
Droša projektēšana un droši noklusējuma iestatījumi ir savstarpēji saistīti. CRA I pielikums aptver tādas produkta īpašības kā piekļuves aizsardzība, datu aizsardzība un uzbrukuma virsmas ierobežošana. Vēlāk uzrakstīta politika nevar aizstāt tehniskās īpašības; izstrādes lēmumiem un to pārbaudei jāatbilst risku novērtējumam.
Atbildīgi iekļaut komponentus.
Integrētie komponenti paliek produkta izvērtējuma daļa. Ražotājiem vajadzīga izsekojama informācija par piegādāto saturu un to, kā atkarību ievainojamības ietekmē produktu. Komisija skaidri apraksta pienācīgu rūpību attiecībā uz trešo personu komponentiem; piegādātāja atbildes vienkārša pārsūtīšana neatbild uz visiem produkta jautājumiem.
Pārvaldīt ievainojamības un atjauninājumus.
Ievainojamību pārvaldība ir nepārtraukts uzdevums attiecīgajā atbalsta periodā. Tā ietver pieejamus ziņošanas ceļus, novērtēšanu, novēršanu un drošu drošības atjauninājumu piegādi. Nošķiriet konstatējuma tehnisko apstrādi no juridiskā vērtējuma, vai par aktīvi izmantotu ievainojamību vai smagu incidentu ir jāziņo.
Noteikt atbalstu un informāciju lietotājiem.
Atbalsta periodu nosaka CRA 13. panta 8. punkta kritēriji un paredzamā izmantošana. Pamatā paredzēti vismaz pieci gadi; ja paredzamā izmantošana ir īsāka, piemēro tās ilgumu, bet ilgākas paredzamās izmantošanas gadījumā var būt vajadzīgs garāks periods. Komisijas pamatnostādņu 5. sadaļa skaidri norāda, ka pieci gadi nav vispārējs maksimālais termiņš.
Nodrošināt ražotāju ziņošanu.
CRA 14. pants nošķir aktīvi izmantotas ievainojamības no smagiem drošības incidentiem. Ražotājiem piemēro pakāpenisku ziņošanu: nekavējoties, ne vēlāk kā 24 stundu laikā pēc uzzināšanas — agrīnais brīdinājums, bet 72 stundu laikā — papildu informācija. Galīgie termiņi atšķiras atkarībā no iemesla. Tādēļ skenera atradums vien automātiski nerada obligātu paziņojumu un nav pietiekams pamats notikuma slēgšanai.
Sagatavot atbilstību un dokumentāciju.
Tehniskajai dokumentācijai un atbilstības novērtēšanai jāizskaidro piedāvātais produkts. CRA 32. pants un produkta kategorija nosaka pieļaujamo procedūru. Fiksējiet izvēlēto novērtēšanas pamatu kopā ar produkta versiju; vispārēja dokumentu kolekcija bez izsekojamas saiknes ar pārbaudīto izpildījumu nav pietiekama praktiska pierādīšanas stratēģija.
CRA ieviešana kā produkta process.
Norobežot portfeli un lomas.
Praktiski sākot darbu, apziniet piedāvātos produktus, to būtiskās funkcijas, atbildīgo juridisko personu un lomu attiecīgajā izplatīšanas ceļā.
Nošķirt piemērošanas posmus.
Atdaliet jau spēkā esošo gatavību ražotāju ziņošanai no vispārējās produktu atbilstības sagatavošanas un pārbaudiet pārejas noteikumus esošajiem produktiem.
Pārvērst riskus produkta lēmumos.
Sasaistiet risku novērtējumu ar projektēšanu, komponentu izvēli un pārbaudāmiem drošības kritērijiem izstrādei un izlaišanai.
Izmēģināt ziņošanas ceļus.
Nosakiet atbildīgās personas un aizvietotājus un izmēģiniet novērtēšanu, eskalāciju un informācijas nosūtīšanu piemērojamajos termiņos, strādājot ar nepilnīgu informāciju.
Noteikt atbalstu un apliecināšanas ceļu.
Plānojiet atbalstīto produkta versiju uzturēšanu un, pamatojoties uz kategoriju, noskaidrojiet nepieciešamo atbilstības novērtēšanu un tehnisko dokumentāciju.
Programmatūras CE marķējums un produkta apliecinājums.
CRA apliecinājums ir ar produktu saistīta atbilstības novērtēšana. Komisija, skaidrojot CRA 32. pantu, norāda, ka standarta kategorijai iespējama iekšēja novērtēšana. Noteiktiem svarīgiem vai kritiskiem produktiem piemēro stingrākas procedūras ar paziņoto struktūru vai citiem attiecīgi pieļaujamiem apliecināšanas ceļiem. Kategoriju nosaka faktiskā produkta funkcija; reklāmas produkta nosaukums tam nav pietiekams.
ES atbilstības deklarācija un CE marķējums izriet no piemērojamās procedūras. Tie nav vispārējs visa uzņēmuma sertifikāts un nav solījums, ka produktam nekad nebūs ievainojamību. Tādēļ vienots sertifikāta derīguma termiņš nav piemērots CRA aprakstam: dokumentācija, ievainojamību pārvaldība un attiecīgi spēkā esošie pienākumi jāaplūko visā būtiskajā aprites ciklā.
Citi ietvari un patstāvīgi pienākumi.
ISO 27001 organizē informācijas drošības pārvaldības sistēmu; attiecīgs sertifikāts viens pats neapliecina produkta atbilstību CRA. NIS2 izvērtē aptvertās struktūras un to drošības organizēšanu. VDAR aizsargā personas datus, tādēļ ar produktu saistīts notikums var radīt papildu datu aizsardzības jautājumus. Saistītos procesus var koordinēt, taču to juridiskie ierosinātāji un pierādījumi jāpārbauda atsevišķi.
Secani vidē.
Secani ietver pašu izstrādātu CRA darba katalogu ar avotiem, pārbaudes jautājumiem un pierādījumu piemēriem. Uzņēmuma profilā cita starpā fiksē lomas un novērtēšanas datumu; nenoskaidrotie priekšnoteikumi paliek redzami kā pārbaudes vajadzība. Palīglīdzeklis palīdz organizēt pārbaudi, taču neapstiprina ne juridisko klasifikāciju, ne produkta atbilstību.
Sāciet ar norobežotu produktu.
Izvēlieties konkrētu produktu un vispirms noskaidrojiet tā robežas, atbildīgo juridisko personu un par drošības ziņojumiem atbildīgās personas. Pēc tam pārbaudiet, kuri pašreizējie un gaidāmie pienākumi attiecas uz šo produktu. Šāds sākums padara sagatavošanos pārskatāmu un novērš situāciju, kurā vispārējs atbilstības projekts aizēno jau nepieciešamo gatavību ziņošanai.
Avoti.
- Regula (ES) 2024/2847 — Kibernoturības akts
- Eiropas Komisija: Kibernoturības akts un piemērošanas datumi
- Eiropas Komisija: tiesību akta kopsavilkums
- Eiropas Komisija: ražotāju pienākumi
- Eiropas Komisija: atbilstības novērtēšana
- Eiropas Komisija: CRA un atvērtais pirmkods
- Eiropas Komisija: pamatnostādnes C(2026) 5252 ar pielikumu
Biežākie jautājumi.
Jā, aptvertajiem ražotājiem ziņošana saskaņā ar CRA 14. pantu ir spēkā kopš 2026. gada 11. septembra. Vispārējie produktu pienākumi sākas 2027. gada 11. decembrī; īpašās lomas un pārejas noteikumi jāpārbauda atsevišķi.
Nē, apzīmējums SaaS nenosaka piemērošanas jomu. Pārbaudiet programmatūras produktu, tā funkcijas un saistīto datu attālināto apstrādi atbilstoši konkrētajai arhitektūrai.
Nē, iepriekšējo atvērtā pirmkoda ieguldījumu īpašā regulēšana vispārēji neatbrīvo komerciāla produkta ražotāju no pienākumiem. Jānošķir ražotāja loma un iespējamā pārvaldnieka loma.
Nē, ISO 27001 sertifikāts attiecas uz norobežotu pārvaldības sistēmu. CRA pieprasa atsevišķu produkta izvērtējumu un attiecīgi piemērojamo atbilstības apliecinājumu.
Organizējiet produktu drošību izsekojamā veidā.
Strukturēti strādājiet ar CRA prasībām un to pārbaudi Secani vidē.
Šī lapa vispārīgi skaidro Kibernoturības aktu un neaizstāj atsevišķa produkta juridisku pārbaudi. Noteicoši ir spēkā esošie tiesību akti.