Cyber Resilience Act (CRA)
Uredba EU o kibernetski varnosti izdelkov z digitalnimi elementi.
Katero težavo rešujemo
Obveznosti CRA segajo od zasnove izdelka do podpore po prodaji. Proizvajalci in uvozniki pogosto ne vedo, ali njihov izdelek sodi v zakon, in nimajo postopka, s katerim bi v 24 urah prijavili aktivno izkoriščano ranljivost.
Zakaj je to pomembno
Ob uveljavitvi obveznosti prijave ranljivosti in incidentov morate imeti postopek že pripravljen. Če ga nimate, ga ne morete izvesti pravočasno, tudi če je vaš izdelek varen.
Za koga je
- Proizvajalci programske in strojne opreme s povezljivostjo (IoT, aplikacije, sistemi z vgrajeno programsko opremo).
- Uvozniki in distributerji, ki dajejo izdelke na trg EU.
- Podjetja, ki razvijajo programsko opremo za lastne izdelke ali jo prodajajo kot del storitve.
Kaj obsega delo
- Ugotovitev, ali izdelek sodi v področje uporabe CRA in v katero kategorijo tveganja.
- Ocena kibernetskih zahtev za zasnovo, razvoj in podporo izdelka.
- Postopek za upravljanje ranljivosti, vključno s popravki in posodobitvami.
- Postopek prijave aktivno izkoriščanih ranljivosti in resnih incidentov.
- Tehnična dokumentacija in izjava o skladnosti, ki ju mora izdelek spremljati.
Potek dela
Ugotovitev področja uporabe za vaše izdelke.
GAP analiza glede na obveznosti proizvajalca ali uvoznika.
Vzpostavitev postopka za ranljivosti in prijavo incidentov.
Priprava tehnične dokumentacije in pregled z vami.
Kaj potrebujemo od vas
- Seznam izdelkov z digitalnimi elementi, ki jih razvijate ali uvažate.
- Vloga v dobavni verigi: proizvajalec, uvoznik, distributer ali integrator.
- Obstoječa dokumentacija, posodobitve in način podpore kupcem.
Kaj prejmete
- Ugotovitev področja uporabe in razvrstitve izdelkov.
- GAP analiza in načrt ukrepov.
- Postopek za upravljanje ranljivosti in prijavo incidentov.
- Predlog tehnične dokumentacije za pregled z vašo ekipo.
Kaj ni vključeno in kje so meje
- Izvedba ocene skladnosti ali sodelovanje z priglašenim organom.
- Tehnično testiranje izdelka in varnostna analiza kode.
- Pravno mnenje o odgovornosti za napake v izdelku.
Svetovalni pregled CRA ni formalna ocena skladnosti. Nismo priglašeni organ in ne izdajamo certifikatov ali pravnih mnenj. Za izdelke v zahtevnejših kategorijah je lahko potrebna ocena priglašenega organa.
CRAprepared.com. Podrobna priprava proizvajalcev na CRA: vsebine, kontrolni seznami in postopki za ranljivosti.
Pogosta vprašanja
Kdaj se začnejo obveznosti?
Obveznosti prijave aktivno izkoriščanih ranljivosti in resnih incidentov veljajo od 11. septembra 2026. Glavne obveznosti veljajo od 11. decembra 2027.
Ali se CRA nanaša tudi na izdelke, ki so že na trgu?
Delno. Obveznost prijave aktivno izkoriščanih ranljivosti in resnih incidentov (člen 14) velja od 11. septembra 2026 tudi za izdelke, ki so bili dani na trg pred 11. decembrom 2027. Zahteve iz Priloge I pa se za take izdelke ne uporabljajo, razen če se izdelek po tem datumu bistveno spremeni (člen 69).
Ali je programska oprema, ki je brezplačna, izvzeta?
Ne vedno. Ključno je, ali se izdelek daje na trg v okviru komercialne dejavnosti. Programska oprema odprte kode, ki ni komercialna, je v določenih primerih izvzeta. Vsak primer je treba preveriti posebej.
Ali vaš svetovalni pregled nadomešča oceno skladnosti?
Ne. Svetovalni pregled je interna ocena pripravljenosti. Ocena skladnosti po CRA je formalni postopek, ki ga opravi proizvajalec sam ali, pri zahtevnejših kategorijah, priglašeni organ. Mi nismo priglašeni organ.
Kje najdem podrobnejšo pripravo na CRA?
Podrobno pripravo proizvajalcev, vključno z orodji in vsebinami, najdete na CRAprepared.com. Ta stran ponuja svetovalni pregled v okviru širše zakonodajne skladnosti.
Potrebujete svetovalni pregled ali pomoč pri pripravi na skladnost?
Opišite organizacijo in izziv. Predlagamo smiseln obseg dela, brez obvezujočih obljub o rezultatu.