Shoda s CRA pro produkty s digitálními prvky
CRA Tools vás provede celou cestou ke shodě s nařízením o kybernetické odolnosti: od evidence produktů a posouzení rizik přes sebehodnocení proti všem požadavkům přílohy I až po evidenci zranitelností, softwarový kusovník (SBOM) a povinnou dokumentaci.
Podpořeno v rámci finanční podpory třetím stranám (FSTP) v rámci projektu Building Testing and Certification Capabilities in the Czech Republic (TEST-CERT-CZ) financovaného z programu Digitální Evropa.
Jednotná pravidla kybernetické bezpečnosti pro vše, co se připojuje
Nařízení Evropského parlamentu a Rady (EU) 2024/2847 stanoví horizontální požadavky na kybernetickou bezpečnost produktů s digitálními prvky uváděných na trh Evropské unie. Týká se softwaru i hardwaru, tedy čehokoli, co se přímo či nepřímo připojuje k zařízení nebo síti.
Výrobce musí produkt bezpečně navrhnout, posoudit jeho rizika, řešit zranitelnosti po celou dobu podpory, vypracovat technickou dokumentaci a EU prohlášení o shodě a hlásit aktivně zneužívané zranitelnosti.
- VýrobciHlavní adresát povinností: návrh, vývoj, řešení zranitelností, dokumentace, prohlášení o shodě a hlášení.
- DovozciSmějí uvádět na trh jen produkty, které požadavky nařízení splňují.
- DistributořiJednají s náležitou péčí ve vztahu k požadavkům nařízení.
- Doba podporyNejméně 5 let; bezpečnostní aktualizace dostupné alespoň 10 let od vydání.
Povinnosti nabíhají postupně
- 10. 12. 2024Nařízení vstoupilo v platnost.
- 11. 6. 2026Pravidla pro oznamování subjektů posuzování shody.
- 11. 9. 2026Povinnost hlásit aktivně zneužívané zranitelnosti a závažné incidenty.
- 11. 12. 2027Plná použitelnost: všechny povinnosti včetně posuzování shody a označení CE.
Za nesoulad se základními požadavky hrozí pokuta až 15 mil. EUR nebo 2,5 % celosvětového ročního obratu. Orgány dozoru mohou také nařídit stažení produktu z trhu.
Kategorie produktu určuje, jak se shoda prokazuje
Nařízení dělí produkty do čtyř kategorií podle rizika. CRA Tools při uložení produktu ověří, že zvolený postup posuzování shody klasifikaci odpovídá.
| Kategorie | Příklady | Přípustný postup shody |
|---|---|---|
| Výchozí produkt | Většina produktů, které nespadají do žádné zvláštní kategorie. | Modul A – interní kontrola (sebehodnocení) |
| Důležitý – třída I | Správci hesel, VPN, prohlížeče, antivirus, správa identit, směrovače, operační systémy. | Modul A jen při plném použití harmonizovaných norem; jinak B+C nebo H |
| Důležitý – třída II | Firewally, IDS/IPS, hypervizory, mikroprocesory odolné proti manipulaci. | Modul B+C nebo H – posouzení třetí stranou |
| Kritický produkt | Hardwarové bezpečnostní schránky, chytré měřicí brány, čipové karty se zabezpečenými prvky. | EU certifikace kybernetické bezpečnosti, případně B+C nebo H |
Osm agend, jedna evidence shody
Produkty
Evidence produktů s digitálními prvky, klasifikace podle příloh III a IV a volba modulu posuzování shody.
Sebehodnocení
Průvodce všemi 22 požadavky přílohy I se stavem plnění, důkazy a průběžným skóre shody.
Požadavky CRA
Katalog 14 požadavků na vlastnosti produktu a 8 na řešení zranitelností s mapováním na ISO/IEC a IEC 62443.
Rizika
Registr kybernetických rizik produktu podle článku 13: pravděpodobnost, dopad, opatření a zbytkové riziko.
Zranitelnosti
Evidence CVE, CVSS skóre, dotčených komponent, dat objevení a opravy a příznaku aktivního zneužívání.
SBOM
Softwarový kusovník s identifikátory purl a CPE, hashem SHA-256 a typem závislosti komponenty.
Dokumenty
EU prohlášení o shodě, technická dokumentace a informace pro uživatele generované z dat produktu.
Znalostní báze
Patnáct článků k nařízení s odkazy na oficiální zdroje EUR-Lex, ENISA, IEC a ISO.
Nástroj pro výrobce, compliance týmy i poradce
Komu pomůže
- Výrobcům softwaru a hardwaru, kteří prokazují shodu s CRA.
- Compliance manažerům, produktovým a bezpečnostním vlastníkům.
- Poradenským a auditorským společnostem, které spravují více klientů odděleně.
- Organizacím s ISMS podle ISO 27001, které jej rozšiřují na produkty.
Co nástroj nedělá
- Nenahrazuje posouzení shody třetí stranou ani evropskou certifikaci tam, kde je nařízení vyžaduje.
- Nepodává hlášení na platformu ENISA; eviduje lhůty a připravuje podklady.
- Neprovádí technické testování produktu; výsledky testů se zapisují jako evidence.
- Neposkytuje právní výklad nařízení.
Začněte evidencí prvního produktu
ACRESIA Consulting s.r.o. ·