Proizvajalci izdelkov z digitalnimi elementi morajo po CRA zagotoviti kibernetsko varnost v zasnovi, obravnavati ranljivosti ves čas podpore, pripraviti tehnično dokumentacijo in ES izjavo o skladnosti ter prijavljati aktivno izkoriščene ranljivosti. Poročanje velja od 11. septembra 2026, glavne obveznosti od 11. decembra 2027.
Kaj je CRA
Uredba (EU) 2024/2847, znana kot Cyber Resilience Act, določa kibernetskovarnostne zahteve za izdelke z digitalnimi elementi, to je za strojno in programsko opremo, ki je neposredno ali posredno povezana z napravo ali omrežjem. Veljati je začela decembra 2024.
Ključni datumi
| Datum | Kaj začne veljati |
|---|---|
| 11. 9. 2026 | obveznost poročanja o aktivno izkoriščenih ranljivostih in hudih incidentih |
| 11. 12. 2027 | glavne obveznosti za proizvajalce |
Pri izdelkih, ki so bili na trg dani pred 11. decembrom 2027, se zahteve iz Priloge I uporabijo le, če se izdelek po tem datumu bistveno spremeni. Obveznost poročanja velja za vse izdelke v uporabi.
Kaj mora proizvajalec pripraviti
- Varnost v zasnovi. Ocena kibernetskih tveganj za izdelek, varne privzete nastavitve, omejena površina napada, zaščita podatkov.
- Obravnava ranljivosti. Postopek za sprejem prijav, odpravo ranljivosti in varnostne posodobitve, ki so brezplačne in se dajo namestiti samodejno, kadar je to mogoče. Seznam komponent (SBOM) v strojno berljivi obliki.
- Podpora. Obdobje podpore je praviloma vsaj pet let, razen če je pričakovana življenjska doba izdelka krajša.
- Tehnična dokumentacija. Opis izdelka, ocena tveganj, uporabljeni ukrepi in standardi, rezultati preizkusov.
- Ocena skladnosti, ES izjava o skladnosti in oznaka CE. Postopek je odvisen od kategorije izdelka; za pomembne in kritične izdelke veljajo strožji postopki.
- Poročanje. Zgodnje opozorilo v 24 urah, obvestilo v 72 urah in končno poročilo v rokih iz uredbe.
- Navodila za uporabnika in kontakt za prijavo ranljivosti.
Pogoste napake
- zavezanec ne ve, ali je proizvajalec, uvoznik ali distributer,
- seznam komponent ne obstaja ali ni vzdrževan,
- ni notranjega postopka za sprejem in odpravo prijav ranljivosti,
- odgovornost za posodobitve ni določena,
- podpora izdelku ni časovno opredeljena.
Kako lahko pomagamo
Izvedemo svetovalni pregled pripravljenosti na CRA in pripravimo seznam vrzeli. To ni formalno ocenjevanje skladnosti in ni potrdilo; ni nadomestilo za priglašeni organ. Za podrobnejšo pripravo proizvajalcev priporočamo tudi orodje na CRAprepared.com.
Več: Cyber Resilience Act in GAP analiza. Članek ni pravno mnenje; pred odločitvami preverite uradno besedilo uredbe.
Pogosta vprašanja
Ali CRA velja za programsko opremo, ki jo ponujamo kot storitev (SaaS)?
Praviloma ne kot samostojna storitev, razen če gre za rešitev za oddaljeno obdelavo podatkov, ki je del izdelka z digitalnimi elementi. Presodite vsak primer posebej.
Ali CRA velja za odprtokodno programje?
Velja za izdelke, dane na trg v okviru komercialne dejavnosti. Za nekomercialne projekte in skrbnike odprte kode veljajo posebna pravila.
Ali vaš pregled nadomesti formalno ocenjevanje skladnosti?
Ne. Naš svetovalni pregled pripravljenosti ni formalno ocenjevanje skladnosti in ni izdaja potrdila. Nismo priglašeni organ.
Viri
Članek je strokovni povzetek in ne nadomešča pravnega mnenja. Obveznosti so odvisne od položaja posamezne organizacije.