Cyber Resilience Act (CRA)
Uredba EU o kibernetski varnosti izdelkov z digitalnimi elementi.
Cyber Resilience Act (CRA) je Uredba (EU) 2024/2847, ki določa kibernetske zahteve za izdelke z digitalnimi elementi, dane na trg EU. Obveznosti imajo proizvajalci, uvozniki in distributerji, od zasnove do podpore po prodaji.
Katero težavo rešujemo
Proizvajalci in uvozniki pogosto ne vedo, ali izdelek sodi v področje uporabe, in nimajo postopka, s katerim bi pravočasno prijavili aktivno izkoriščano ranljivost.
Zakaj je to pomembno
Postopek za ranljivosti in prijavo incidentov mora biti pripravljen pred uveljavitvijo obveznosti. Če ga ni, ga ni mogoče pravočasno izvesti, tudi če je izdelek varen.
Za koga je
- Proizvajalci programske in strojne opreme s povezljivostjo (IoT, aplikacije, vgrajena programska oprema).
- Uvozniki in distributerji, ki dajejo izdelke na trg EU.
- Podjetja, ki razvijajo programsko opremo za lastne izdelke ali jo prodajajo kot del storitve.
Kaj obsega delo
- Okvirna ugotovitev, ali izdelek sodi v področje uporabe CRA.
- Pregled kibernetskih zahtev za zasnovo, razvoj in podporo izdelka.
- Pregled postopka za upravljanje ranljivosti in posodobitev.
- Pregled postopka za prijavo aktivno izkoriščanih ranljivosti in resnih incidentov.
- Pregled tehnične dokumentacije.
Potek dela
Uvodni pogovor in seznam izdelkov.
GAP analiza glede na obveznosti proizvajalca ali uvoznika.
Pregled postopkov in dokumentacije.
Poročilo z ugotovitvami in načrtom ukrepov.
Kaj potrebujemo od vas
- Seznam izdelkov z digitalnimi elementi, ki jih razvijate ali uvažate.
- Vloga v dobavni verigi: proizvajalec, uvoznik, distributer ali integrator.
- Obstoječa dokumentacija, posodobitve in način podpore kupcem.
Kaj prejmete
- Poročilo GAP analize z ugotovitvami glede na obveznosti CRA.
- Načrt ukrepov s prednostmi in roki.
Kaj ni vključeno in kje so meje
- Ocena skladnosti ali sodelovanje s priglašenim organom: nismo priglašeni organ.
- Tehnično testiranje izdelka in varnostna analiza kode.
- Pravno mnenje o razvrstitvi izdelka ali odgovornosti.
Pravnega svetovanja ne dajemo. Roki in obveznosti veljajo po stanju na dan zadnje preveritve ter se lahko spremenijo, zato jih preverite v uradnem besedilu predpisa. Nismo priglašeni organ in ne izdajamo certifikatov.
CRAprepared.com. Podrobnejša priprava proizvajalcev na CRA (spletna stran v angleščini, isti upravljavec).
Pogosta vprašanja
Kdaj se začnejo obveznosti?
Obveznosti prijave aktivno izkoriščanih ranljivosti in resnih incidentov veljajo od 11. septembra 2026. Glavne obveznosti veljajo od 11. decembra 2027. Roke preverite v uradnem besedilu uredbe.
Ali se uredba nanaša tudi na izdelke, ki so že na trgu?
Delno. Obveznost prijave ranljivosti in incidentov velja od 11. septembra 2026 tudi za izdelke, dane na trg pred 11. decembrom 2027. Zahteve iz Priloge I se za take izdelke ne uporabljajo, razen če se izdelek po tem datumu bistveno spremeni.
Ali je brezplačna programska oprema izvzeta?
Ne vedno. Ključno je, ali se izdelek daje na trg v okviru komercialne dejavnosti. Vsak primer je treba presoditi posebej.
Ali vaš pregled nadomešča oceno skladnosti?
Ne. Naš pregled je ocena pripravljenosti. Ocena skladnosti po CRA je formalni postopek, ki ga opravi proizvajalec sam ali, pri zahtevnejših kategorijah, priglašeni organ.
Viri
- Uredba (EU) 2024/2847 (CRA), EUR-Lex (odpre se v novem zavihku)
- Cyber Resilience Act, Evropska komisija (odpre se v novem zavihku)
Zadnja vsebinska preveritev: . Besedilo je strokovni povzetek in ne nadomešča pravnega mnenja ali besedila standarda.
Potrebujete notranjo presojo ali pripravo na ISO?
Opišite organizacijo in cilj. Predlagamo smiseln obseg dela in pripravimo individualno ponudbo, brez obljub o rezultatu certifikacije.