CRA vs ISO 27001: luki w zgodności, których Twój SZBI nie pokrywa

Firma z certyfikatem ISO 27001 często zakłada, że jest dobrze przygotowana na akt o cyberodporności (Rozporządzenie (UE) 2024/2847). Nie jest. Przynajmniej nie bez poważnych dodatkowych prac.

ISO 27001 chroni zasoby informacyjne organizacji. Rozporządzenie (UE) 2024/2847 wymaga, aby każdy produkt z elementami cyfrowymi wprowadzany na rynek UE był bezpieczny już w fazie projektowania, zawierał wykaz materiałów oprogramowania (SBOM) i był objęty aktualizacjami bezpieczeństwa przez cały przewidywany czas eksploatacji. To obowiązki na poziomie produktu, nie organizacji. Niezgodność grozi karami do 15 mln EUR lub 2,5% globalnego rocznego obrotu (Artykuł 64). Zobacz przewodnik po karach i egzekwowaniu CRA.

Obowiązki sprawozdawcze z Artykułu 14 zaczynają obowiązywać 11 września 2026 r. Pełna zgodność jest wymagana do 11 grudnia 2027 r. Zobacz pełny harmonogram wdrożenia CRA.

Ten przewodnik mapuje, gdzie SZBI pomaga, gdzie nie wystarcza i co trzeba dodać.

Co obejmuje ISO 27001, a czego wymaga CRA?

Co obejmuje ISO 27001

ISO 27001 to standard systemu zarządzania bezpieczeństwem informacji (SZBI), obejmujący:

Kontrole na poziomie organizacji:

• Polityki bezpieczeństwa informacji
• Zarządzanie aktywami
• Kontrola dostępu (do systemów i danych)
• Stosowanie kryptografii
• Bezpieczeństwo fizyczne
• Bezpieczeństwo operacyjne
• Bezpieczeństwo komunikacji
• Relacje z dostawcami
• Zarządzanie incydentami
• Ciągłość działania
• Zarządzanie zgodnością

Cel: ochrona zasobów informacyjnych organizacji.

Co obejmuje CRA

CRA to rozporządzenie produktowe obejmujące (Załącznik I):

Wymagania na poziomie produktu:

• Bezpieczeństwo w fazie projektowania
• Brak znanych, aktywnie wykorzystywanych podatności
• Bezpieczna konfiguracja domyślna
• Ochrona przed nieautoryzowanym dostępem (w produkcie)
• Ochrona danych (przez produkt)
• Możliwość aktualizacji (produktu)
• Obsługa podatności i zgłaszanie do ENISA (dla produktu)
• SBOM komponentów produktu (Art. 13 ust. 5)
• Polityka skoordynowanego ujawniania podatności (Art. 13 ust. 6)
• Publiczny kontakt ds. podatności (Art. 13 ust. 7)
• Oznakowanie CE i ocena zgodności

Cel: zapewnienie, że produkty wprowadzane na rynek są bezpieczne.

CRA klasyfikuje produkty na kategorie: domyślne, Ważne Klasa I, Ważne Klasa II oraz Krytyczne (Załączniki III i IV). Każda kategoria pociąga za sobą inne wymagania oceny zgodności. Produkt Ważny Klasy II wymaga obowiązkowej oceny przez jednostkę notyfikowaną, niezależnie od statusu certyfikatu ISO 27001. Zobacz przewodnik po klasyfikacji produktów CRA.

Zasadnicza różnica

Gdzie ISO 27001 pomaga w CRA, a gdzie nie wystarcza

Gdzie ISO 27001 pomaga

Gdzie ISO 27001 nie wystarcza

Podsumowanie analizy luk

Mocna podstawa (ISO 27001 znacząco pomaga):

• Kultura i świadomość bezpieczeństwa
• Metodologia zarządzania ryzykiem
• Gotowość do reagowania na incydenty
• Zarządzanie bezpieczeństwem dostawców
• Polityki bezpiecznego cyklu wytwarzania
• Ramy kontroli dostępu
• Praktyki dokumentowania

Częściowe pokrycie (ISO 27001 pomaga, ale nie wystarcza):

• Zarządzanie podatnościami (zakres organizacyjny vs produktowy)
• Kryptografia (polityka vs implementacja w produkcie)
• Testy bezpieczeństwa (systemy korporacyjne vs testy produktu)
• Zarządzanie zmianami (zmiany IT vs modyfikacje produktu)
• SBOM (świadomość komponentów w A.8.26/A.8.28 vs maszynowo czytelny format)

Luki (specyficzne dla CRA, nie pokryte przez ISO 27001):

• Generowanie i utrzymanie SBOM w standardowym formacie
• Ocena zgodności produktu
• Proces oznakowania CE
• Zgłaszanie podatności do krajowego CSIRT przez Single Reporting Platform (Art. 14)
• Plik techniczny produktu (Załącznik VII)
• Zobowiązanie dotyczące okresu wsparcia (Art. 13 ust. 8)
• Weryfikacja bezpiecznej konfiguracji domyślnej
• Wymagania mechanizmu aktualizacji produktu
• Polityka skoordynowanego ujawniania podatności (Art. 13 ust. 6)
• Publiczny kontakt do zgłaszania podatności (Art. 13 ust. 7)

Jak wykorzystać ISO 27001 do spełnienia wymagań CRA

SZBI jako fundament

Producent z certyfikatem ISO 27001 ma solidne podstawy. Klucz to rozszerzenie istniejących procesów na obowiązki produktowe, zamiast budowania od zera.

Rozszerz istniejące procesy:

Nowe procesy do dodania:

Praktyczne kroki integracji

Krok 1: rozszerzenie zakresu

• Dodać bezpieczeństwo produktu do zakresu SZBI
• Uwzględnić wytwarzanie produktu w ocenie ryzyka
• Rozszerzyć inwentarz aktywów o komponenty produktu

Krok 2: aktualizacja procesów

• Zaktualizować procedurę obsługi podatności o zgłaszanie produktu do krajowego CSIRT przez Single Reporting Platform
• Dodać SBOM do zarządzania zmianami
• Uwzględnić w reagowaniu na incydenty wczesne ostrzeżenie w 24 h, powiadomienie wstępne w 72 h i raport końcowy

Krok 3: uzupełnienia dokumentacji

• Pliki techniczne produktu
• Rejestry SBOM
• Dowody oceny zgodności
• Dokumentacja okresu wsparcia

Krok 4: role i odpowiedzialności

• Przydzielić właściciela bezpieczeństwa produktu
• Zdefiniować odpowiedzialność za zgłoszenia do CSIRT
• Ustanowić właściciela utrzymania SBOM
• Przydzielić właściciela polityki CVD

Kontrole Załącznika A w ISO 27001 a CRA

Najbardziej istotne kontrole

A.8.25 Bezpieczny cykl wytwarzania

• ISO 27001: polityki bezpiecznego wytwarzania
• Zastosowanie w CRA: podstawa wymagań bezpieczeństwa produktu (Załącznik I, Część I)

A.8.26 Wymagania bezpieczeństwa aplikacji

• ISO 27001: wymagania bezpieczeństwa w procesie wytwarzania
• Zastosowanie w CRA: podstawa zasadniczych wymagań produktu, częściowa podstawa dla inwentaryzacji komponentów SBOM

A.8.27 Bezpieczna architektura systemu

• ISO 27001: zasady bezpiecznej architektury
• Zastosowanie w CRA: architektura bezpieczeństwa produktu

A.8.28 Bezpieczne kodowanie

• ISO 27001: praktyki bezpiecznego kodowania, w tym śledzenie zależności
• Zastosowanie w CRA: bezpieczeństwo kodu produktu, częściowa podstawa dla świadomości komponentów SBOM

A.8.8 Zarządzanie podatnościami technicznymi

• ISO 27001: organizacyjna obsługa podatności
• Zastosowanie w CRA: rozszerzenie na podatności produktu + zgłoszenia do krajowego CSIRT przez Single Reporting Platform (Art. 14)

A.5.19-22 Relacje z dostawcami

• ISO 27001: zarządzanie bezpieczeństwem dostawców
• Zastosowanie w CRA: zbieranie SBOM od dostawców, bezpieczeństwo łańcucha dostaw

Czy certyfikat ISO 27001 liczy się przy ocenie zgodności z CRA?

Czy certyfikat ISO 27001 obejmuje zgodność z CRA?

Kluczowe zrozumienie:

• Certyfikat ISO 27001 potwierdza dojrzałość organizacji w zakresie bezpieczeństwa
• Zgodność z CRA to wymaganie regulacyjne dla każdego produktu osobno
• Posiadanie ISO 27001 nie zwalnia z CRA
• Audytorzy ISO 27001 nie oceniają zgodności z CRA

Obowiązki sprawozdawcze Artykułu 14 zaczynają obowiązywać 11 września 2026 r. Pełna zgodność jest wymagana do 11 grudnia 2027 r. Niezgodność grozi karami do 15 mln EUR lub 2,5% globalnego rocznego obrotu (Artykuł 64).

Synergie audytowe

Nadzorczy audyt ISO 27001:

• Coroczna ocena SZBI
• Może obejmować zakres bezpieczeństwa produktu
• Dowody nadają się do ponownego użycia w CRA

Ocena zgodności CRA:

• Ocena właściwa dla produktu
• Odwołuje się do SZBI w kwestii dowodów procesowych
• Wymaga dodatkowych dowodów na poziomie produktu

Możliwości synergii:

• Synchronizacja harmonogramów audytów
• Ponowne użycie dowodów tam, gdzie to możliwe
• Podejście zintegrowanego systemu zarządzania
• Jedno repozytorium dokumentacji

Trzy typowe scenariusze ISO 27001 + CRA

Scenariusz 1: ISO 27001 certyfikowany, start z CRA

Zalety, które producent już ma:

• Metodologia ryzyka istnieje
• Kultura bezpieczeństwa ugruntowana
• Praktyki dokumentowania wdrożone
• Zarządzanie dostawcami działa
• Gotowość do reagowania na incydenty

Co trzeba jeszcze dodać:

• [ ] Klasyfikacja produktu wg CRA (Załącznik III/IV)
• [ ] Zdolność generowania SBOM (Art. 13 ust. 5)
• [ ] Proces zgłaszania do CSIRT (Art. 14)
• [ ] Pliki techniczne produktu (Załącznik VII)
• [ ] Proces oceny zgodności
• [ ] Zarządzanie okresem wsparcia (Art. 13 ust. 8)
• [ ] Testy bezpieczeństwa właściwe dla produktu
• [ ] Polityka CVD (Art. 13 ust. 6)
• [ ] Publiczny kontakt ds. podatności (Art. 13 ust. 7)

Podejście:

1. Analiza luk względem wymagań CRA
2. Rozszerzenie zakresu SZBI o produkty
3. Dodanie procesów specyficznych dla CRA
4. Aktualizacja dokumentacji
5. Szkolenie odpowiednich zespołów

Scenariusz 2: brak ISO 27001, podejście do CRA

Opcja A: tylko CRA

• Bezpośrednie wdrożenie wymagań CRA
• Podejście skoncentrowane na produkcie
• Możliwe pominięcie korzyści z bezpieczeństwa organizacyjnego
• Szybsza ścieżka do zgodności z CRA

Opcja B: ISO 27001 + CRA

• Wdrożenie obu ram
• Silniejsza ogólna pozycja bezpieczeństwa
• Więcej pracy na początku
• Lepsza pozycja długoterminowa

Zalecenie: producent powinien zacząć od wymagań CRA (termin regulacyjny jest stały) i budować ku ISO 27001 stopniowo. Od początku trzeba wyrównać podejścia, żeby nie dublować pracy. Zobacz przewodnik CRA dla startupów dla ścieżki o minimalnym nakładzie.

Scenariusz 3: wiele produktów, centralny SZBI

Centralnie (SZBI):

• Metodologia ryzyka
• Proces obsługi podatności
• Zarządzanie dostawcami
• Reagowanie na incydenty
• Standardy wytwarzania

Na produkt (CRA):

• Plik techniczny
• SBOM
• Ocena zgodności
• Dokumentacja produktu
• Okres wsparcia

Korzyści:

• Efektywne ponowne użycie procesów
• Spójne podejście do bezpieczeństwa
• Skoncentrowana wiedza specjalistyczna
• Zgodność właściwa dla produktu

Lista kontrolna: organizacja z ISO 27001 dodająca CRA

Ocena:

• [ ] Przegląd aktualnego zakresu SZBI
• [ ] Identyfikacja produktów z elementami cyfrowymi
• [ ] Klasyfikacja produktów wg kategorii CRA (Załącznik III/IV)
• [ ] Analiza luk: SZBI vs wymagania CRA

Rozszerzenie zakresu:

• [ ] Dodanie bezpieczeństwa produktu do zakresu SZBI
• [ ] Aktualizacja oceny ryzyka o produkty
• [ ] Rozszerzenie Deklaracji stosowalności

Uzupełnienia procesów:

• [ ] Proces generowania SBOM (Art. 13 ust. 5)
• [ ] Procedura zgłaszania do CSIRT (Art. 14)
• [ ] Proces oceny zgodności
• [ ] Zarządzanie okresem wsparcia (Art. 13 ust. 8)
• [ ] Procedura pliku technicznego produktu (Załącznik VII)
• [ ] Polityka CVD (Art. 13 ust. 6)
• [ ] Konfiguracja publicznego kontaktu ds. podatności (Art. 13 ust. 7)

Dokumentacja:

• [ ] Szablony pliku technicznego
• [ ] Szablon oceny ryzyka produktu
• [ ] Format i przechowywanie SBOM
• [ ] Szablon deklaracji zgodności UE

Rozszerzenia kontroli:

• [ ] A.8.8: dodać podatności produktu i zgłoszenia do CSIRT
• [ ] A.8.25-28: dodać testy bezpieczeństwa produktu
• [ ] A.5.19-22: dodać SBOM od dostawców

Role:

• [ ] Przydzielić właściciela bezpieczeństwa produktu
• [ ] Zdefiniować odpowiedzialność za zgłoszenia do CSIRT
• [ ] Ustanowić rolę oceny zgodności
• [ ] Przydzielić właściciela polityki CVD

Szkolenia:

• [ ] Świadomość CRA dla zespołów wytwórczych
• [ ] Szkolenie z narzędzi SBOM
• [ ] Szkolenie z oceny zgodności

Oficjalne zasoby ISO 27001 i CRA

ISO 27001:

• ISO/IEC 27001:2022: zarządzanie bezpieczeństwem informacji
• ISO/IEC 27002:2022: kontrole bezpieczeństwa informacji

CRA:

• Rozporządzenie (UE) 2024/2847: akt o cyberodporności
• Mapowanie standardów wymagań CRA przez ENISA (listopad 2024)

Standardy uzupełniające:

• ISO/IEC 27034: bezpieczeństwo aplikacji (łączy SZBI i bezpieczeństwo produktu)
• IEC 62443: bezpieczeństwo przemysłowe (dobre dopasowanie dla producentów OT/IoT, silny kandydat na zharmonizowany standard CRA)
• ISO/SAE 21434: bezpieczeństwo motoryzacyjne

Następne kroki

Ten artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. W celu uzyskania szczegółowych wytycznych dotyczących zgodności należy skonsultować się z wykwalifikowanym prawnikiem.