Kibernetinio atsparumo akto atitiktis

Kibernetinio atsparumo aktas taikomas aparatinės ir programinės įrangos produktų su skaitmeniniais elementais, parduodamų ES, gamintojams, importuotojams ir platintojams. Pranešimai apie aktyviai išnaudojamus pažeidžiamumus ir rimtus incidentus taikomi nuo 2026 m. rugsėjo 11 d., kiti reikalavimai – nuo 2027 m. gruodžio 11 d.

  • ES Kibernetinio atsparumo aktas (CRA)
  • 2024/2847
  • Reikalavimų kataloge: 16
  • Oficialus tekstas

Ko reikalauja

Pagrindinės prievolės paprastais žodžiais, su straipsniu ar skyriumi, iš kurio jos kyla.

  • I priedas, I dalis

    Projektuokite, kurkite ir tiekite produktus saugiai: saugūs numatytieji nustatymai, konfidencialumo, vientisumo ir prieinamumo apsauga, saugumo atnaujinimai.

  • I priedas, II dalis

    Valdykite pažeidžiamumus: programinės įrangos komponentų sąrašas, savalaikis taisymas ir koordinuoto atskleidimo politika.

  • 13 str. 8 d.

    Nustatykite palaikymo laikotarpį, atitinkantį numatomą produkto naudojimo trukmę, ne trumpesnį nei penkeri metai, nebent numatomas naudojimas trumpesnis.

  • 14 str.

    Praneškite apie aktyviai išnaudojamus pažeidžiamumus ir rimtus incidentus: išankstinis įspėjimas per 24 valandas, pranešimas per 72 valandas ir vėliau galutinė ataskaita; informuokite naudotojus.

  • 28–32 str.

    Įvertinkite atitiktį, parenkite ES atitikties deklaraciją ir pažymėkite produktą CE ženklu.

  • 19–20 str.

    Importuotojai ir platintojai prieš parduodami patikrina, ar produktai atitinka reikalavimus.

Kaip tai apima Atitic

Ką produktas daro šiai sistemai, naudodamas tuos pačius įrašus kaip ir visoms kitoms.

  • Katalogo reikalavimai, susieti su jūsų politikomis, įrodymais ir atsakingais asmenimis.

  • Susiejimai iš ISO 27001 ir iš TIS2 su CRA, kad jau atliktas saugumo darbas būtų įskaitytas.

  • Fasttrack nustato, kad CRA taikomas, kai ES rinkai tiekiate produktus su skaitmeniniais elementais, ir nurodo abi datas.

Kas yra kataloge

Atitikties sistemos sritys Atitic ir kiek reikalavimų turi kiekviena. Kai ją pritaikote, kiekvienas reikalavimas tampa eilute, už kurią atsakote ir kurią susiejate su politikomis, įrodymais ir kontrolės priemonėmis.

  • Esminiai kibernetinio saugumo reikalavimai produktams4
  • Pažeidžiamumų valdymas3
  • Incidentų ir pažeidžiamumų pranešimai3
  • Atitikties vertinimas ir CE ženklinimas3
  • Gamintojų, importuotojų ir platintojų pareigos3

Susijusios atitikties sistemos: NIS2 ISO 27001

Dažni klausimai

Ar CRA taikomas programinei įrangai?

Taip. Įskaitoma kaip produktas parduodama programinė įranga, įskaitant programėles ir programinę aparatinę įrangą. Programinė įranga, teikiama tik kaip paslauga, daugiausia nepatenka į jo taikymo sritį ir jai taikoma TIS2, o ne komercinės veiklos metu sukurta laisvoji ir atvirojo kodo programinė įranga neįtraukiama.

Kur siunčiami 24 valandų pranešimai?

Koordinatoriumi paskirtam CSIRT ir ENISA per bendrą pranešimų platformą.

Ar SBOM privalomas?

Taip. Gamintojai jį sudaro kiekvienam produktui, apimdami bent aukščiausio lygio priklausomybes, plačiai naudojamu mašininio skaitymo formatu. Jis yra techninės dokumentacijos dalis; skelbti jo viešai nereikia.

Santrauka orientacijai, ne teisinė konsultacija. Lemiamas yra oficialus tekstas.

Išbandykite su savo duomenimis

Pritaikykite ES Kibernetinio atsparumo aktas nemokamu bandomuoju laikotarpiu, susiekite jau turimus įrodymus ir pamatykite, ko dar trūksta.

Pradėti nemokamą bandymą