Кой трябва да спазва Cyber Resilience Act?

Ако се опитвате да установите кой трябва да спазва Cyber Resilience Act, краткият отговор е, че обхватът следва продукта. Регламент (ЕС) 2024/2847, Cyber Resilience Act или CRA, определя хоризонтални правила за киберсигурност на продуктите с цифрови елементи, продавани в ЕС. Той влезе в сила на 10 декември 2024 г. Задълженията му за докладване на уязвимости и инциденти се прилагат от 11 септември 2026 г., а пълният набор от задължения от 11 декември 2027 г. Дали ви засяга зависи от това какво произвеждате или продавате и как то попада на пазара; секторът, под който подавате отчетите си, е без значение тук.

Това ръководство минава през въпроса за обхвата по ред: какво е продукт с цифрови елементи, кои са трите роли на икономически оператори, които носят задължения, как класификацията определя вашия път към съответствие, какво е изключено и какво всъщност трябва да направи производителят. Първо фактите накратко.

Какво се брои за продукт с цифрови елементи

CRA обхваща всеки продукт с цифрови елементи, тоест всеки хардуер или софтуер, чиято предвидена или разумно предвидима употреба включва пряка или непряка връзка за данни с устройство или мрежа. Тази дефиниция е умишлено широка. Тя стига далеч отвъд очевидните джаджи от интернет на нещата и въвлича фърмуер, операционни системи, библиотеки и софтуер, продаван като продукт. Ако вашият продукт може да говори с друго устройство или с мрежа и вие го пускате на пазара на ЕС в рамките на търговска дейност, изходното допускане е, че CRA се прилага.

Има граници. Продукт без връзка за данни или предоставен извън всякаква търговска дейност стои извън регламента. Софтуерът като услуга по принцип е извън обхвата на CRA и се урежда от NIS2, освен когато е компонент за отдалечено обработване на данни на продукт, който също разпространявате. Свободният софтуер и софтуерът с отворен код, предоставени извън търговска дейност, се третират по-леко, като има отделен, по-лек набор от задължения за администраторите на софтуер с отворен код, които го монетизират или систематично го поддържат. Блок-схемата по-горе преминава през граничните въпроси, около които се върти дефиницията.

Широтата на тази дефиниция е умишлена и според нас правилна. Голяма част от несигурните свързани продукти на пазара на ЕС са продадени от фирми, които никога не са се смятали за софтуерни компании, а тясната дефиниция би пропуснала точно тях. Цената на този избор е, че сега много организации са в обхвата без каквато и да е функция по сигурност на продукта, и честният първи въпрос за тях е кой поименно ще поеме това вътрешно, преди да се решава каквото и да било друго.

Трите икономически оператора, които трябва да спазват регламента

CRA възлага задължения на икономическите оператори по веригата на доставки. Три роли носят тежестта и един продукт може да включва и трите. Открийте къде стоите, преди да четете задълженията.

Производителят е основният носител на задълженията. Той проектира или произвежда продукта, или възлага изработката му, и го предлага на пазара под собствено име или търговска марка. Производителят носи съществените изисквания, извършва оценяването на съответствието, поставя маркировката CE и докладва уязвимости и инциденти. Вносителят пуска на пазара на ЕС продукт от производител от трета държава и трябва да провери, че производителят е завършил оценяването на съответствието, че маркировката CE е поставена и че техническата документация е налична. Дистрибуторът предоставя продукта по-надолу по веригата и трябва да провери, че маркировката CE и документацията са налице, и да действа с дължима грижа. Ключово е, че вносител или дистрибутор, който предлага продукт под собствено име или търговска марка, или изменя съществено вече пуснат на пазара продукт, поема пълните задължения на производител.

Класификацията на продукта определя пътя ви към съответствие

Не всеки продукт в обхвата минава през една и съща оценка. CRA сортира продуктите по нива на риск и нивото решава дали може да направите самооценка или трябва да привлечете трета страна. Категорията по подразбиране покрива повечето продукти и производителят може да използва вътрешен контрол, за да се самооцени спрямо съществените изисквания. Важните категории, клас I и клас II, са изброени в Annex III. Критичната категория е изброена в Annex IV и може да изисква европейска сертификация за киберсигурност.

Примерите правят нивата осезаеми. Annex III клас I обхваща продукти като мениджъри на самоличност и пароли, самостоятелни браузъри, VPN продукти, системи за управление на мрежи, SIEM системи, зареждащи мениджъри, рутери, модеми и комутатори за непромишлена употреба, операционни системи и свързани продукти за дома или за наблюдение на деца с чувствителни функции. Клас II обхваща продукти, изпълняващи изключително значими функции по сигурността, като хипервайзори и системи за контейнерна среда за изпълнение, защитни стени, системи за откриване и предотвратяване на прониквания и устойчиви на подправяне микропроцесори и микроконтролери. Критичните продукти по Annex IV са опорни точки на доверие като хардуерни устройства със защитни модули, шлюзове за интелигентни измервателни уреди, смарт карти и защитени елементи, а съгласно актовете за изпълнение и хардуерни модули за сигурност и устойчиви на подправяне чипове.

Пътят се изкачва заедно с нивото. Продуктите по подразбиране могат да бъдат самооценени чрез вътрешен контрол. Важните продукти от клас I могат да бъдат самооценени само когато производителят прилага изцяло съответните хармонизирани стандарти или европейска схема за сертифициране; в противен случай е необходима оценка от трета страна. Продуктите от клас II изискват оценка от трета страна. Критичните продукти може да се наложи да притежават сертификат по европейска схема за сертифициране на киберсигурността. Ранната класификация на всеки продукт ви казва колко външно оценяване да предвидите в бюджета.

Направете класификацията преди всичко останало, защото това е единственото решение тук, което променя разходите ви с порядък. Самооценката е вътрешно усилие, което контролирате. Оценката от трета страна вкарва нотифициран орган, неговите срокове и неговата цена в график за пускане, който вие не контролирате. Ако имате широк каталог, очаквайте граничните преценки да бъдат наистина неудобни: дали дадена функция за управление изкачва продукта едно ниво нагоре подлежи на спор, а спорното е неприятно място, когато маркировката CE зависи от отговора.

Какво е изключено от обхвата

Някои продукти с цифрови елементи вече са регулирани по отношение на киберсигурността чрез специални правила на ЕС и CRA се отдръпва, за да избегне двойно регулиране. Продуктите, обхванати от тези секторни режими, стоят извън CRA.

Основните изключения са медицинските изделия, обхванати от Регламенти (ЕС) 2017/745 и 2017/746, моторните превозни средства по правото на ЕС за одобрение на типа, продуктите за гражданска авиация по рамката на EASA и морското оборудване. Изключени са и продуктите, разработени изключително за целите на националната сигурност или отбраната, както и продуктите, специално проектирани за обработване на класифицирана информация. Ако вашият продукт попада категорично в един от тези режими, секторните правила уреждат неговата киберсигурност и CRA не добавя втори слой. Проверете границата внимателно, защото компонент или принадлежност може да не наследи изключението на основния продукт. Ако доставяте към изключен сектор, вместо сами да произвеждате крайното устройство, приемете, че сте в обхвата, докато някой с правомощия не напише защо не сте. Разчитането на изключението на клиента е допускане, което издържа точно докато орган за надзор на пазара не попита за него.

Производител, вносител, дистрибутор: кой какво прави

Най-ясният начин да прочетете задълженията си е едно до друго. Производителят носи пълния набор от съществени задължения. Вносителят и дистрибуторът носят задължения за проверка и дължима грижа, замислени да държат несъответстващите продукти извън пазара.

На практика производител, който подреди собствената си къща, облекчава тежестта надолу по веригата, защото вносителите и дистрибуторите основно проверяват дали производителят си е свършил работата. Тук също софтуерът за съответствие с CRA заслужава мястото си: държи оценката на риска, техническата документация, декларацията за съответствие и записите за уязвимости в една проследима система, към която цялата верига може да сочи.

Какво трябва да направи производителят, за да е в съответствие

За производителите задълженията са конкретни. Започнете с оценка на киберриска за всеки отделен продукт, която захранва проектирането и документацията. Изпълнете съществените изисквания по Annex I, част I: доставяйте продукта сигурен по подразбиране, без известни експлоатируеми уязвимости, със защита от неоторизиран достъп, поверителност и цялост на данните, минимизиране на данните, наличност и устойчивост срещу отказ на услуга, ограничена атакуема повърхност и възможност за сигурно обновяване. Изпълнявайте процесите за обработка на уязвимости по Annex I, част II: идентифицирайте и документирайте компонентите в софтуерна спецификация на материалите, поддържайте политика за координирано разкриване на уязвимости, издавайте актуализации за сигурност заедно с бюлетини и тествайте редовно.

Подредени по действително усилие, тези задачи изобщо не са равни. Политиката за разкриване е един следобед и наблюдавана пощенска кутия. Генерирането на софтуерна спецификация на материалите е седмица работа по build конвейера при модерна кодова база и значително повече при нещо с вградени или наследени зависимости. Наистина скъпият ангажимент е периодът на поддръжка, защото той превръща доставения продукт в постоянно задължение за издаване на кръпки, а това трябва да бъде ресурсно обезпечено дълго след като търговският екип е преминал към следващото издание.

След това идват задълженията при пускане на пазара. Осигурете период на поддръжка, през който уязвимостите се обработват, отразяващ колко дълго се очаква продуктът да бъде в употреба и най-малко пет години, освен ако животът на продукта е по-кратък. Завършете оценяването на съответствието за нивото на вашия продукт, поставете маркировката CE и съставете ЕС декларация за съответствие. Поддържайте техническата документация по Annex VII и я съхранявайте заедно с декларацията най-малко десет години след пускането на продукта на пазара или за периода на поддръжка, което от двете е по-дълго. Дайте на потребителите ясна информация и инструкции, включително крайната дата на поддръжката.

Часовникът за докладване по член 14, точно

След като задълженията за докладване започнат да се прилагат на 11 септември 2026 г., производителите трябва да докладват активно експлоатирани уязвимости и тежки инциденти на CSIRT, определен за координатор в държавата членка на основното им място на установяване, и на ENISA, чрез единната платформа за докладване, която ENISA поддържа. Часовникът върви в три стъпки, а последната стъпка се различава според вида на доклада:

Прозорецът за ранно предупреждение е този, който ще изненада хората, и затова по-ранната от двете дати на прилагане тежи повече от по-късната. Той започва, когато узнаете, което в повечето компании означава мига, в който инженер от поддръжката отваря имейл от изследовател, и тече независимо дали вашият юрист е буден. Решението е скучно и работещо: решете сега кой е упълномощен да подаде ранно предупреждение без ескалация и се уверете, че този човек е достъпен през уикенда.

Често задавани въпроси

Прилага ли се CRA към софтуер, продаван като самостоятелен продукт?

Да. Софтуер, пуснат на пазара на ЕС в рамките на търговска дейност, е продукт с цифрови елементи, ако предвидената или предвидима употреба включва пряка или непряка връзка за данни. Софтуерът като услуга, доставян изцяло като услуга, по принцип се урежда от NIS2 вместо от CRA, но софтуерът, който разпространявате, включително фърмуер, приложения и библиотеки, продавани като продукти, е в обхвата.

Обхванат ли е софтуерът с отворен код?

Свободният софтуер и софтуерът с отворен код, предоставени извън търговска дейност, стоят извън задълженията на производителя. Отделен, по-лек режим се прилага към администраторите на софтуер с отворен код, тоест организациите, които монетизират или систематично поддържат компоненти с отворен код. Търговски продукт, който включва компоненти с отворен код, е изцяло в обхвата и производителят, който го доставя, носи задълженията за целия продукт.

Кога всъщност трябва да съм в съответствие?

На два етапа. Задълженията по член 14 за докладване на активно експлоатирани уязвимости и тежки инциденти се прилагат от 11 септември 2026 г. към всички продукти в обхвата, които вече са на пазара. Пълният набор от задължения - съществени изисквания, оценяване на съответствието, маркировка CE и техническа документация - се прилага от 11 декември 2027 г.

Трябва ли вносителите и дистрибуторите да извършват оценяване на съответствието?

Не. Оценяването на съответствието се извършва от производителя. Вносителите проверяват, че то е направено, че маркировката CE е поставена и че техническата документация е налична; дистрибуторите действат с дължима грижа, за да проверят същото. Но вносител или дистрибутор, който пребрандира продукт под собствено име или го изменя съществено, става производител за целите на CRA и наследява пълните задължения.

Какви са санкциите при неспазване?

Член 64 определя три нива. Нарушаването на съществените изисквания по Annex I или на задълженията по членове 13 и 14 може да доведе до глоби до 15 милиона EUR или 2,5% от общия годишен световен оборот, което от двете е по-високо. Другите задължения на операторите носят до 10 милиона EUR или 2%, а предоставянето на невярна или подвеждаща информация на нотифицирани органи или органи за надзор на пазара до 5 милиона EUR или 1%.

Определяне на обхвата ви по CRA с Venvera

Обхватът и класификацията са първите неща, които трябва да бъдат правилни, защото пътят към съответствие и разходите произтичат от тях. Модулът CRA на Venvera съотнася теста за продукт с цифрови елементи, ролите на икономическите оператори и класификацията по Annex III и Annex IV в структурирана оценка на пропуските, така че за всеки продукт да виждате дали е в обхвата и по кой път минава. Тъй като CRA се припокрива с контроли по сигурността, които може вече да прилагате, машината за crosswalk ви позволява да преизползвате доказателства от NIS2, DORA и ISO 27001, вместо да започвате от нулата.

Ако искате бърз прочит къде стоите, направете безплатна проверка на съответствието и използвайте въпросите за обхват по-горе като отправна точка. CRA стои редом с останалите ви задължения и ги оставя в сила, така че контролите, които вече прилагате за NIS2 или ISO 27001, ви дават преднина по съществените изисквания.

Първични източници

Това ръководство е изготвено въз основа на регламента и официалните насоки на ЕС: Регламент (ЕС) 2024/2847 (пълният текст на CRA, включително член 14, член 64 и Annexes I, III и IV); и страниците за политиката Cyber Resilience Act на Европейската комисия и законодателното резюме. Подробностите за класификацията на продуктите отразяват акта за изпълнение на Комисията, който определя техническите описания на категориите по Annex III и Annex IV. Винаги сверявайте актуалния текст, преди да разчитате на конкретна дата или стойност.