Notranji pregled pripravljenosti na Cyber Resilience Act
Presoja postopkov proizvajalca ali uvoznika glede na obveznosti iz Uredbe (EU) 2024/2847.
Notranji pregled pripravljenosti na CRA je nepristransko preverjanje, ali postopki proizvajalca ali uvoznika izdelkov z digitalnimi elementi ustrezajo obveznostim uredbe: upravljanje ranljivosti, prijava incidentov, posodobitve in tehnična dokumentacija.
Katero težavo rešujemo
Postopek za sprejem prijav ranljivosti in za prijavo aktivno izkoriščane ranljivosti ne obstaja ali ni preizkušen, tehnična dokumentacija izdelka pa ni urejena.
Zakaj je to pomembno
Postopki morajo obstajati pred obveznostjo, ne šele ob prvi ranljivosti. Presoja pokaže, ali so v praksi preizkušeni.
Za koga je
- Proizvajalci programske in strojne opreme s povezljivostjo.
- Uvozniki in distributerji izdelkov z digitalnimi elementi.
- Podjetja, ki jih naročniki sprašujejo po pripravljenosti na CRA.
Kaj obsega delo
- Postopek za sprejem in obravnavo ranljivosti.
- Postopek za prijavo aktivno izkoriščanih ranljivosti in resnih incidentov.
- Varnostne posodobitve in podpora izdelka.
- Tehnična dokumentacija in seznam komponent.
- Vloga v dobavni verigi (proizvajalec, uvoznik, distributer).
Potek dela
Uvodni pogovor: obseg, merila, termin in preverjanje neodvisnosti.
Presojevalni načrt: merila (obveznosti proizvajalca ali uvoznika po Uredbi (EU) 2024/2847), vzorci in seznam intervjuvancev.
Pregled dokumentacije in zapisov.
Presoja: intervjuji, opazovanje in vzorčenje zapisov.
Končni sestanek z ustnim povzetkom.
Poročilo in po dogovoru preverjanje korektivnih ukrepov.
Kaj potrebujemo od vas
- Seznam izdelkov z digitalnimi elementi.
- Postopki za ranljivosti in posodobitve.
- Obstoječa tehnična dokumentacija izdelkov.
Kaj prejmete
- Presojevalni načrt in program presoje.
- Poročilo o presoji z ugotovitvami, dokazi in merili.
- Seznam neskladnosti in priložnosti za izboljšave.
- Povzetek za vodstvo.
Kaj ni vključeno in kje so meje
- Pravno mnenje ali formalna ocena skladnosti.
- Tehnično testiranje izdelka in analiza kode.
- Certifikacija: uredbe in zakoni ne vsebujejo certifikata ISO.
Notranja presoja skladnosti ni pravno mnenje. Roke in obveznosti preverite v uradnem besedilu predpisa. Presojamo le sisteme, pri vzpostavitvi katerih nismo sodelovali. Če smo organizaciji svetovali ali pripravljali dokumentacijo, presoje ne prevzamemo ali pa to jasno navedemo in presoje ne predstavimo kot neodvisne.
Pogosta vprašanja
Ali je to ocena skladnosti po CRA?
Ne. Ocena skladnosti je formalni postopek, ki ga opravi proizvajalec ali, pri zahtevnejših kategorijah, priglašeni organ. Mi nismo priglašeni organ. Naš pregled je ocena pripravljenosti.
Ali testirate izdelke?
Ne. Pregledamo postopke in dokumentacijo. Penetracijski testi in analiza kode niso del presoje.
Viri
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.