Kibernetinio atsparumo aktas: kokie pokyčiai ir kaip jiems pasiruošti.

Kas yra Kibernetinio atsparumo aktas?

Kibernetinio atsparumo aktas (CRA) yra Reglamentas (ES) 2024/2847. Juo nustatomos ES taisyklės dėl skaitmeninių elementų turinčių aparatinės ir programinės įrangos produktų saugumo. Produktas turėtų būti suprojektuotas saugiai, aprūpintas saugumo pataisomis ir pateikta informacija, padedančia žmonėms jį saugiai naudoti.

Kam reikia į tai žiūrėti?

Pradėkite nuo ES komerciškai tiekiamų produktų, kurių numatytas arba pagrįstai numatomas naudojimas apima tiesioginį arba netiesioginį duomenų ryšį su įrenginiu ar tinklu. Programinės įrangos leidėjas arba įmonė, parduodanti įrenginį su savo prekės ženklu, gali būti gamintojas. Importuotojai ir platintojai turi savo pareigas.

Taikymo sritis turi būti patikrinta atsižvelgiant į konkretų produktą. Nekomercinė nemokama ir atvirojo kodo programinė įranga bei produktai, kuriems taikomos tam tikrų sektorių taisyklės, pvz., medicinos prietaisų teisės aktai, turi išimčių. Debesijos paslaugos nėra automatiškai visos įtrauktos arba visiškai neįtrauktos: kai kurie nuotoliniai apdorojimo būdai yra įtraukto produkto dalis.

Ką apima platesnis reglamentavimas?

• Produkto rizikos vertinimas ir saugumas, integruoti į projektavimą, kūrimą ir pristatymą.
• Procesas, skirtas pažeidžiamumų gavimui, tyrimui ir taisymui produkto palaikymo laikotarpiu.
• Komponentų įrašai, įskaitant programinės įrangos medžiagų sąrašą (SBOM), ir saugus atnaujinimų pristatymas.
• Techninė dokumentacija, naudotojo instrukcijos ir informacija apie palaikymo laikotarpį.
• Taikomas atitikties vertinimas, ES atitikties deklaracija ir CE ženklas. Vertinimo būdas priklauso nuo gaminio.
• Ataskaitų teikimas, tiekimo grandinės atsakomybė ir rinkos priežiūros institucijų priežiūra.

Apžvalga: CRA teisinis tekstas, 2, 13–24, 27–34 straipsniai ir I priedas .

Kodėl reikia ruoštis iki 2027 m.?

Šios užduotys turi įtakos produktų išleidimui, tiekėjų informacijai ir palaikymo veikimui. Joms nustatyti ir išbandyti reikia laiko. Pradėkite nuo produktų, už juos atsakingų asmenų ir jau turimų įrašų nustatymo. Tada susitarkite dėl trūkstamo darbo ir kas jį atliks.

Dvi datos, kurias reikia suplanuoti

1. 2026 m. rugsėjo 11 d.

   Gamintojo ataskaitų teikimo pradžia

   Taikomi 14 straipsnio ataskaitų teikimo įpareigojimai. Tai taip pat gali būti paveikti jau ES rinkoje esantys reglamentuojami produktai.

2. 2027 m. gruodžio 11 d.

   Taikomi pagrindiniai CRA reikalavimai

   Pradėti taikyti produkto saugumo, dokumentacijos ir atitikties įsipareigojimai. Ankstesniems produktams taikomos pereinamojo laikotarpio taisyklės; esminiai pakeitimai gali pakeisti jų padėtį.

71 straipsnyje nustatomos datos, o 69 straipsnyje – pereinamasis laikotarpis. Atvirojo kodo programinės įrangos priežiūros pareigūnai turi atskiras 24 straipsnio ataskaitų teikimo pareigas, taikomas nuo 2027 m. gruodžio 11 d. Perskaitykite reglamentą .

14 straipsnis: apie ką reikia pranešti?

Gamintojai privalo pranešti apie aktyviai išnaudotas pažeidžiamumas ir rimtus incidentus, turinčius įtakos jų gaminių, kuriems taikoma apsauga, saugumui. Aktyviai išnaudota pažeidžiamumas turi patikimų įrodymų apie piktavališką išnaudojimą be leidimo. Vien skaitytuvo radinys tokios būklės nenustato.

14 straipsnyje taip pat apibrėžiama sunkaus incidento riba, įskaitant faktinę ar potencialią žalą produkto jautrių ar svarbių duomenų ar funkcijų apsaugai arba kenkėjiško kodo įdiegimą ar vykdymą produkte ar naudotojo sistemose.

Gamintojai taip pat privalo nedelsdami informuoti paveiktus naudotojus apie pažeidžiamumą ar incidentą ir atitinkamas priemones, kaip reikalaujama 14(8) straipsnyje.

Žr. 14 straipsnį ir Komisijos ataskaitų teikimo paaiškinimą . Tai praktinė santrauka, o ne nustatymas, kad konkretus įvykis atitinka pranešimo ribą.

Kur keliauja pranešimas?

Pranešimai pateikiami per pagal 16 straipsnį įsteigtą ENISA bendrą pranešimų platformą (SRP). Ji nukreipia pranešimus atitinkamai nacionalinei kompiuterių saugumo incidentų reagavimo komandai (CSIRT) ir ENISA. Platforma turi savo registracijos ir prieigos vaidmenis.

Prieiga prie ENISA platformos, registracijos gairės ir naudotojo vadovas ↗

Kaip WFH gali padėti jums pasiruošti

Susitariame dėl produkto apimties ir jums reikalingos pagalbos tipo: pasirengimo darbai, ataskaitų rengimas ar pagalba konkrečiame renginyje. Pasiūlymas gali apimti:

• Produkto ir atsakomybės žemėlapis: kas valdo kiekvieną produktą, renka techninius faktus, tvirtina pranešimą ir jį pateikia.
• Techninių spragų sąrašas, apimantis produkto saugumą, komponentų įrašus, pažeidžiamumų tvarkymą ir išleidimo įrodymus.
• Ankstyvojo įspėjimo, pranešimo ir tolesnių veiksmų etapų ataskaitų teikimo tvarka ir informacijos šablonų projektai.
• Praktinis scenarijus, skirtas patikrinti, ar jūsų komanda gali surinkti informaciją ir laiku susisiekti su reikiamais žmonėmis.
• Pagalba rengiant techninę informaciją SRP ir registruojant, kas buvo pateikta ir ką reikia atnaujinti.
• Sutartų pataisymų įgyvendinimas arba koordinavimas, pateikiant atliktų patikrinimų įrodymus.

SBOM ir VEX paaiškinimai

SBOM yra programinės įrangos komponentų, esančių produkte, sąrašas. Jis padeda atsakyti į klausimą „Ar mes naudojame paveiktą biblioteką ir kuriose versijose?“. CRA I priede pateikiamas SBOM reikalavimas kaip pažeidžiamumų tvarkymo dalis .

VEX registruoja, ar žinomas pažeidžiamumas paveikia konkretų produktą, ir pateikia tokios išvados pagrindimą. Tai gali padėti tvarkyti techninius įrodymus. Pati savaime tai nėra CRA sertifikatas ar ataskaitų pakaitalas.

Komponentų įrašus susiekite su aprašoma produkto versija. Pranešus apie pažeidžiamumą, patikrinkite, ar komponentas yra, ar galima pasiekti paveiktą funkciją ir kurios konfigūracijos yra pažeidžiamos. Paskirkite asmenį peržiūrėti išvadą, kai produktas pasikeičia.

Perskaitykite visą SBOM ir VEX paaiškinimą↗

Prieš susisiekdami