Unijny Cyber Resilience Act (CRA) wymaga, aby wszystkie produkty z elementami cyfrowymi sprzedawane w UE spełniały wymagania cyberbezpieczeństwa do grudnia 2027. Kluczowe obowiązki obejmują: utrzymywanie SBOM (Software Bills of Materials), zgłaszanie wykorzystywanych podatności do ENISA w ciągu 24 godzin (od września 2026) oraz przechowywanie dokumentacji technicznej przez 10 lat. Kary mogą sięgać 15 mln € lub 2,5% globalnego obrotu. CRA Evidence pomaga producentom, importerom i dystrybutorom w spełnieniu wymogów poprzez zarządzanie SBOM, skanowanie podatności i tworzenie dokumentacji technicznej.
Unijne rozporządzenie o cyberodporności (CRA)
Rozporządzenie UE 2024/2847 określa wymagania dotyczące cyberbezpieczeństwa dla produktów z elementami cyfrowymi. Oto co musisz wiedzieć.
Czym jest Rozporządzenie o Cyberodporności?
CRA wymaga od firm dokumentowania łańcucha dostaw oprogramowania, monitorowania podatności w całym cyklu życia produktu oraz przechowywania dokumentacji technicznej przez 10 lat. To dużo biurokracji.
Opublikowane jako Rozporządzenie (UE) 2024/2847, obejmuje sprzęt i oprogramowanie sprzedawane w UE: urządzenia IoT, systemy sterowania przemysłowego, samodzielne oprogramowanie i inne.
Rozporządzenie wymaga Zestawień Materiałów Oprogramowania (SBOMs), procesów obsługi podatności, ocen ryzyka i dokumentacji technicznej. Dla produktów sprzętowych wymagane są również HBOMs. Dokumenty VEX komunikują status podatności użytkownikom końcowym.
Kluczowe terminy zgodności
11 września 2026
Rozpoczyna się raportowanie podatności
Producenci muszą zgłaszać aktywnie wykorzystywane podatności do ENISA i organów krajowych w ciągu 24 godzin od uzyskania informacji. Szczegółowe raporty należy złożyć w ciągu 72 godzin.
11 grudnia 2027
Pełne egzekwowanie CRA
Wszystkie produkty z elementami cyfrowymi muszą spełniać podstawowe wymagania cyberbezpieczeństwa. Produkty niezgodne nie mogą być sprzedawane na rynku UE.
Kary za niezgodność
CRA wprowadza znaczące kary finansowe za niezgodność. Organy nadzoru rynku mogą również nakazać wycofanie produktów i zakazać sprzedaży na rynku UE.
Klasyfikacja produktów
CRA kategoryzuje produkty na podstawie poziomu ryzyka cyberbezpieczeństwa. Produkty o wyższym ryzyku podlegają surowszym wymaganiom ocena zgodności.
| Kategoria | Przykłady | Ocena zgodności |
|---|---|---|
| Domyślna | Większość aplikacji programowych, urządzeń IoT, elektroniki użytkowej | Dozwolona samoocena |
| Ważna Klasa I | Zarządzanie tożsamością, przeglądarki, menedżery haseł, VPN, zarządzanie siecią | Samoocena przy stosowaniu normy zharmonizowane; w przeciwnym razie ocena przez stronę trzecią |
| Ważna Klasa II | Hipernadzorcy, środowiska uruchomieniowe kontenerów, zapory sieciowe, wykrywanie włamań, elementy bezpieczeństwa | Wymagana ocena zgodności przez stronę trzecią |
| Krytyczny | Sprzętowe moduły bezpieczeństwa, czytniki kart inteligentnych, systemy bezpiecznego rozruchu | Najsurowsze wymagania (Załącznik IV) |
Wymagania dokumentacyjne (Załącznik VII)
Producenci muszą opracować i utrzymywać dokumentację techniczną potwierdzającą zgodność z podstawowymi wymaganiami. Dokumentacja ta musi być przechowywana przez co najmniej 10 lat po wprowadzeniu produktu na rynek.
Ocena ryzyka
Ocena ryzyka cyberbezpieczeństwa obejmująca potencjalne zagrożenia, podatności i środki podjęte w celu ich eliminacji.
Deklaracja zgodności UE
Formalna deklaracja, że produkt spełnia wszystkie obowiązujące wymagania CRA, podpisana przez upoważnionego przedstawiciela.
Dokumentacja użytkownika
Instrukcje bezpiecznej instalacji, obsługi i konserwacji. Musi zawierać informacje o okresie wsparcia i aktualizacjach bezpieczeństwa.
Polityka postępowania z podatnościami
Udokumentowany proces identyfikacji, śledzenia i usuwania podatności. Musi zawierać procedury skoordynowanego ujawniania.
Raporty z testów
Dowody testów bezpieczeństwa, w tym testy penetracyjne, przeglądy kodu i weryfikacja podstawowych wymagań.
Raportowanie podatności do ENISA
Od września 2026 producenci muszą zgłaszać aktywnie wykorzystywane podatności do ENISA (Agencji Unii Europejskiej ds. Cyberbezpieczeństwa) i krajowego CSIRT, przestrzegając ścisłych terminów.
Niedotrzymanie wymaganych terminów raportowania może skutkować znacznymi karami i utratą reputacji.
W ciągu 24 godzin
Wczesne ostrzeżenie - Wstępne powiadomienie o aktywnie wykorzystywanej podatności lub poważnym incydencie. Podstawowe informacje o zagrożeniu.
W ciągu 72 godzin
Szczegółowy raport - Szczegóły techniczne, dotknięte produkty, ocena powagi i wstępne kroki naprawcze.
W ciągu 14 dni
Raport końcowy (Podatności) - Pełna analiza, przyczyna źródłowa, pełne usunięcie i wnioski.
W ciągu 1 miesiąca
Raport końcowy (Incydenty) - W przypadku poważnych incydentów bezpieczeństwa raport końcowy należy złożyć w ciągu jednego miesiąca.
Jak pomaga CRA Evidence
CRA stosuje się inaczej w zależności od Państwa roli w łańcuchu dostaw. CRA Evidence dostosowuje się do każdej z nich.
Obowiązki wynikające z CRA różnią się w zależności od roli w łańcuchu dostaw
Producenci
Artykuł 13 nakłada na Ciebie najcięższe obowiązki: SBOM, obsługa podatności, aktualizacje bezpieczeństwa, dokumentacja techniczna.
- Walidacja SBOM (TR-03183)
- Monitorowanie podatności
- Eksport dokumentacji technicznej
- Deklaracja Zgodności
Importerzy
Artykuł 19 czyni Cię odpowiedzialnym za weryfikację zgodności producenta przed sprzedażą w UE.
- Listy kontrolne weryfikacji
- Monitorowanie producentów
- Przechowywanie dowodów
- Ścieżka audytu
Dystrybutorzy
Obowiązki z artykułu 20 są lżejsze: weryfikuj oznakowanie CE i właściwie postępuj z produktami niezgodnymi.
- Listy kontrolne należytej staranności
- Śledzenie dostawców
- Weryfikacja CE
- Eskalacja incydentów
Zacznij przygotowania teraz
Grudzień 2027 jest bliżej, niż się wydaje. Przygotuj produkty i dokumentację.