Akt o kibernetski odpornosti.
Varno razvijajte izdelke z digitalnimi elementi, obravnavajte ranljivosti in pripravite ustrezno dokazilo o skladnosti.
- Uredba (EU) 2024/2847
- Avtor: Derya Altinay
- Stanje: 22. 10. 2026
- Čas branja: 7 min.
Kratek odgovor.
Akt o kibernetski odpornosti je uredba EU o kibernetski varnosti zajetih izdelkov z digitalnimi elementi. Proizvajalci so odgovorni za varnost med razvojem, zagotavljanjem in podporo. Obveznosti poročanja proizvajalcev veljajo od 11. septembra 2026; splošne obveznosti za izdelke od 11. decembra 2027. Podlaga je Uredba (EU) 2024/2847.
Akt o kibernetski odpornosti in roki CRA.
Akt o kibernetski odpornosti, krajše CRA, ureja kibernetsko varnost izdelkov. Uredba (EU) 2024/2847 povezuje zahteve za zasnovo z obveznostmi med življenjskim ciklom izdelka. Predmet obravnave je konkreten izdelek, vključno z relevantnimi komponentami in pripadajočo oddaljeno obdelavo podatkov. Varnostni program na ravni podjetja lahko to delo podpre, vendar sam ne odgovori na vprašanja, specifična za izdelek.
Roki CRA veljajo postopoma. Po členu 71(2) CRA se splošne zahteve začnejo uporabljati 11. decembra 2027; poročanje proizvajalcev po členu 14 velja že od 11. septembra 2026. Poglavje IV o priglasitvi organov za ugotavljanje skladnosti velja od 11. junija 2026. Ta institucionalni datum ni predčasni splošni rok za oznako CE za vse programske izdelke.
Starejši izdelki niso na splošno izvzeti iz poročanja proizvajalcev. Člen 69(2) in (3) CRA razlikuje prehodna pravila za skladnost izdelka od poročanja. Smernice Komisije C(2026) 5252, razdelek 9.1, to ločitev pojasnjujejo tudi za izdelke, dane na trg pred decembrom 2027. Smernice so pravno nezavezujoč pripomoček za razlago; odločilna ostaja uredba.
Katere izdelke in podjetja zadeva CRA.
CRA zadeva zajete izdelke strojne in programske opreme, ki so dostopni na trgu EU in predvidevajo neposredno ali posredno podatkovno povezavo z napravo ali omrežjem. Člena 2 in 3 CRA določata področje uporabe in pojme. Sem lahko sodijo samostojno ponujene komponente. Pred enako razvrstitvijo celotnega portfelja preverite dejanske funkcije in zakonsko določene izjeme.
Vloga podjetja določa njegove obveznosti. Proizvajalci, uvozniki in distributerji imajo različne naloge; vloga proizvajalca je lahko relevantna tudi pri trženju pod lastno znamko. Pri odprtokodni programski opremi je treba razlikovati komercialno zagotavljanje, prispevke posameznikov in posebno vlogo skrbnika odprtokodne programske opreme. Prosta licenca proizvajalca komercialnega izdelka ne oprosti na splošno njegove odgovornosti.
Storitev SaaS ne spada v CRA ali zunaj njega zgolj zaradi svoje prodajne oznake. Odločilni so meje izdelka in pripadajoča oddaljena obdelava podatkov. Smernice Komisije v razdelkih 2 in 8 razlikujejo programske izdelke od storitev, ki se zagotavljajo na daljavo. Zabeležite utemeljitev za konkretno arhitekturo; splošna trditev o vseh ponudbah v oblaku bi bila preširoka.
Glavna področja zahtev CRA.
Zahteve CRA povezujejo varnost izdelka na podlagi tveganj s stalno odgovornostjo. Člen 13 in Priloga I CRA sta podlaga za obveznosti glede izdelkov; člen 14 ureja poročanje proizvajalcev, ki velja prej. Naslednja področja ponujajo orientacijo, ne da bi nadomeščala posamezne zakonske zahteve.
Razumite izdelek in tveganja.
Ocena tveganj kibernetske varnosti podpira varnostne odločitve skozi življenjski cikel. Proizvajalci upoštevajo predvideno in razumno predvidljivo uporabo. Praktično opišite funkcije, vmesnike in odvisnosti izdelka ter možne posledice varnostne težave za njegove uporabnike.
Varnost vključite v izdelek.
Varna zasnova in varne privzete nastavitve sodijo skupaj. Priloga I CRA zajema lastnosti izdelkov, kot so zaščita dostopa, varovanje podatkov in omejevanje površin napada. Naknadno napisana politika ne more nadomestiti tehničnih lastnosti; razvojne odločitve in njihovo preverjanje morajo ustrezati oceni tveganj.
Odgovorno vključujte komponente.
Vključene komponente ostajajo del obravnave izdelka. Proizvajalci potrebujejo sledljive informacije o tem, kaj dobavljajo in kako ranljivosti v odvisnostih zadevajo njihov izdelek. Komisija izrecno opisuje potrebno skrbnost do komponent tretjih strani; samo posredovanje dobaviteljevih informacij ne odgovori na vsako vprašanje o izdelku.
Obravnavajte ranljivosti in posodobitve.
Obravnavanje ranljivosti je stalna naloga v ustreznem obdobju podpore. Sem sodijo dostopne poti prijave, ocenjevanje, odpravljanje in varno zagotavljanje varnostnih posodobitev. Tehnično obravnavo ugotovitve ločite od pravne ocene, ali je treba poročati o dejavno izkoriščani ranljivosti ali resnem incidentu.
Določite podporo in informacije za uporabnike.
Obdobje podpore temelji na merilih člena 13(8) CRA in pričakovani uporabi. Načeloma je predvidenih najmanj pet let; pri krajši pričakovani uporabi velja njeno trajanje, pri daljši pa je lahko potrebno daljše obdobje. Smernice Komisije v razdelku 5 izrecno pojasnjujejo, da pet let ni splošna zgornja meja.
Omogočite poročanje proizvajalca.
Člen 14 CRA razlikuje dejavno izkoriščane ranljivosti od resnih varnostnih incidentov. Za proizvajalce velja postopno poročanje: po seznanitvi nemudoma, najpozneje v 24 urah zgodnje opozorilo in v 72 urah dodatni podatki. Končni roki se razlikujejo glede na sprožilec. Sama najdba pregledovalnika zato ni samodejno obvezna prijava niti zadosten razlog za zaključek dogodka.
Pripravite skladnost in dokumentacijo.
Tehnična dokumentacija in ugotavljanje skladnosti morata pojasniti ponujeni izdelek. Člen 32 CRA in kategorija izdelka določata dopusten postopek. Izbrano podlago ocenjevanja shranite skupaj z različico izdelka; splošna zbirka dokumentov brez sledljive povezave s preverjeno izvedbo kot praktična strategija dokazovanja ne zadostuje.
Izvajanje CRA kot proces razvoja izdelka.
Opredelite portfelj in vloge.
Za praktičen začetek popišite ponujene izdelke, njihove relevantne funkcije, odgovorno pravno osebo in vlogo v posamezni prodajni poti.
Ločite faze uporabe.
Že veljavno pripravljenost proizvajalca za poročanje ločite od priprave splošne skladnosti izdelka in preverite prehodna pravila za obstoječe izdelke.
Prenesite tveganja v odločitve o izdelku.
Povežite oceno tveganj z zasnovo, izbiro komponent in preverljivimi varnostnimi merili za razvoj ter odobritev izdaje.
Preizkusite poti poročanja.
Imenujte odgovorne osebe in namestnike ter v veljavnih rokih vadite ocenjevanje, eskalacijo in posredovanje ob nepopolnih informacijah.
Določite podporo in način dokazovanja.
Načrtujte vzdrževanje podprtih različic izdelka ter glede na kategorijo razjasnite potrebno ugotavljanje skladnosti in tehnično dokumentacijo.
Oznaka CE za programsko opremo in dokazovanje izdelka.
Dokazovanje CRA je ugotavljanje skladnosti konkretnega izdelka. Komisija v pojasnilih člena 32 CRA navaja, da je za standardno kategorijo mogoče notranje ocenjevanje. Za določene pomembne ali kritične izdelke veljajo strožji postopki s priglašenim organom ali drugimi vsakokrat dopustnimi načini dokazovanja. Kategorijo določa dejanska funkcija izdelka; tržno ime izdelka za to ne zadostuje.
Izjava EU o skladnosti in oznaka CE sledita veljavnemu postopku. Nista splošen certifikat za celotno podjetje in ne obljubljata, da izdelek nikoli ne bo imel ranljivosti. Enotno obdobje veljavnosti certifikata zato ni ustrezen opis CRA: dokumentacijo, obravnavanje ranljivosti in vsakokrat veljavne obveznosti je treba obravnavati skozi ustrezni življenjski cikel.
Drugi okviri in samostojne obveznosti.
ISO 27001 organizira sistem upravljanja informacijske varnosti; ustrezen certifikat sam ne potrjuje skladnosti izdelka s CRA. NIS2 obravnava zavezane subjekte in njihovo organizacijo varnosti. GDPR varuje osebne podatke, zato lahko dogodek pri izdelku sproži dodatna vprašanja varstva podatkov. Sorodne delovne postopke je mogoče uskladiti, njihove pravne sprožilce in dokazila pa je treba preveriti ločeno.
V Secani.
Secani vsebuje uredniški delovni katalog CRA z viri, vprašanji za preverjanje in primeri dokazil. Profil podjetja med drugim beleži vloge in datum ocenjevanja; nerazjasnjeni pogoji ostajajo vidni kot potreba po preverjanju. Pripomoček podpira organizacijo preverjanja, ne potrjuje pa pravne razvrstitve ali skladnosti izdelka.
Začnite z opredeljenim izdelkom.
Izberite konkreten izdelek in najprej razjasnite njegove meje, odgovorno pravno osebo in pristojne osebe za varnostno poročanje. Nato preverite, katere sedanje in prihodnje obveznosti zadevajo izdelek. Tak začetek ohrani pripravo obvladljivo in preprečuje, da bi splošen projekt skladnosti zakril že zahtevano pripravljenost za poročanje.
Viri.
- Uredba (EU) 2024/2847 – akt o kibernetski odpornosti
- Evropska komisija: akt o kibernetski odpornosti in datumi uporabe
- Evropska komisija: povzetek pravnega akta
- Evropska komisija: obveznosti proizvajalcev
- Evropska komisija: ugotavljanje skladnosti
- Evropska komisija: CRA in odprta koda
- Evropska komisija: smernice C(2026) 5252 s prilogo
Pogosta vprašanja.
Da, za zajete proizvajalce poročanje po členu 14 CRA velja od 11. septembra 2026. Splošne obveznosti glede izdelkov se začnejo uporabljati 11. decembra 2027; posebne vloge in prehodna pravila je treba preveriti ločeno.
Ne, oznaka SaaS ne določa področja uporabe. Preverite programski izdelek, njegove funkcije in pripadajočo oddaljeno obdelavo podatkov glede na konkretno arhitekturo.
Ne, posebna obravnava predhodnih odprtokodnih prispevkov proizvajalca komercialnega izdelka ne oprosti na splošno njegovih obveznosti. Vlogo proizvajalca in morebitno vlogo skrbnika je treba ločiti.
Ne, certifikat ISO 27001 zadeva opredeljen sistem upravljanja. CRA zahteva ločeno obravnavo izdelka in vsakokrat veljavno dokazilo o skladnosti.
Sledljivo organizirajte varnost izdelka.
S Secani strukturirano obravnavajte zahteve CRA in njihovo preverjanje.
Ta stran na splošno pojasnjuje akt o kibernetski odpornosti in ne nadomešča pravnega preverjanja posameznega izdelka. Odločilni so veljavni pravni akti.