Εργαλεία · Κατάλογος ελέγχου κατασκευαστή
Μήτρα συμμόρφωσης
Κάθε υποχρέωση για τους κατασκευαστές προϊόντων με ψηφιακά στοιχεία, παρουσιασμένη σε όλο τον κύκλο ζωής του προϊόντος με την παραπομπή στο άρθρο της. Επεξεργαστείτε τον και παρακολουθήστε την πρόοδό σας· ολόκληρος ο κατάλογος ελέγχου είναι διαθέσιμος προς προβολή δωρεάν. Η πρόοδος διατηρείται σε αυτό το πρόγραμμα περιήγησης.
Προεπιλεγμένο · route
Τα προεπιλεγμένα προϊόντα μπορούν να υποβληθούν σε αυτοαξιολόγηση βάσει του Module A. Δεν απαιτείται κοινοποιημένος οργανισμός, αλλά ο πλήρης τεχνικός φάκελος και το DoC πρέπει παρ' όλα αυτά να υπάρχουν.
1 · Θεμέλια
Θεμέλια σε επίπεδο εταιρείας
0 / 4Οργανωτικές απαιτήσεις που πρέπει να υπάρχουν πριν αρχίσει οποιαδήποτε εργασία ειδική για το προϊόν.
Τεκμηριωμένος Κύκλος Ζωής Ασφαλούς ΑνάπτυξηςΤηρείτε έναν τεκμηριωμένο SDL που καθορίζει φάσεις, ρόλους και αρμοδιότητες. Η εξωτερική πιστοποίηση (IEC 62443-4-1, ISO/IEC 27001) είναι προαιρετική αλλά δημιουργεί τεκμήριο συμμόρφωσης.
άρθρο 13(1) · Παράρτημα I
Αποδεικτικά στοιχεία συμμόρφωσης με τον SDLΌπου δεν κατέχεται εξωτερική πιστοποίηση, διατηρείτε τεκμηριωμένα αποδεικτικά στοιχεία εσωτερικής συμμόρφωσης με τον SDL.
Παράρτημα I · Μέρος I
Ο SDL καλύπτει την ασφάλεια εκ σχεδιασμού και την ασφάλεια εξ ορισμούΝΕΟΟ SDL πρέπει να αντιμετωπίζει ρητά τον τρόπο με τον οποίο το προϊόν ελαχιστοποιεί την επιφάνεια επίθεσής του χωρίς διαμόρφωση από τον τελικό χρήστη.
Παράρτημα I · I(2)(3)
Εξουσιοδοτημένος αντιπρόσωπος ΕΕ (κατασκευαστές εκτός ΕΕ)ΝΕΟΟι κατασκευαστές εκτός της ΕΕ πρέπει να ορίζουν, με γραπτή εντολή, αντιπρόσωπο εγκατεστημένο στην ΕΕ, ο οποίος κατονομάζεται στην τεχνική τεκμηρίωση και στο DoC.
Art. 19
2 · Πριν από την ανάπτυξη
Πριν αρχίσει η ανάπτυξη
0 / 9Η κατάταξη, η εκτίμηση κινδύνου και οι τεχνικές προϋποθέσεις καθορίζουν το πεδίο για όλα όσα ακολουθούν.
Προσδιορίστε την κατάταξη του προϊόντοςΝΕΟΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΠροσδιορίστε εάν το προϊόν είναι Προεπιλεγμένο, Σημαντικό Κατηγορίας I/II ή Κρίσιμο (παραρτήματα III & IV). Η κατάταξη καθορίζει τη διαδρομή αξιολόγησης της συμμόρφωσης.
Παράρτημα III/IV
Προσδιορίστε τη διαδρομή αξιολόγησης της συμμόρφωσηςΝΕΟΠροεπιλεγμένο: αυτοαξιολόγηση Module A. Σημαντικό Κατηγορίας I: Module A με εναρμονισμένο πρότυπο, ειδάλλως B+C ή H. Σημαντικό Κατηγορίας II & Κρίσιμο: πάντοτε μέσω κοινοποιημένου οργανισμού. Είναι σύνηθεις χρόνοι υλοποίησης 4–10 μηνών.
άρθρο 32 · Παράρτημα VIII
Εκτίμηση κινδύνου κυβερνοασφάλειας ειδική για το προϊόνΔιενεργήστε εκτίμηση κινδύνου πριν από την ανάπτυξη. Διατηρήστε όλες τις εκδόσεις· η αρχική έκδοση πριν από την ανάπτυξη αποτελεί μέρος της τεχνικής τεκμηρίωσης.
Παράρτημα I · I(1)
Μοντελοποίηση απειλώνΝΕΟΠροσδιορίστε την επιφάνεια επίθεσης, τους φορείς απειλών, τους φορείς επίθεσης και τις απορρέουσες απαιτήσεις ασφάλειας. Τεκμηριώστε τη μεθοδολογία που χρησιμοποιήθηκε.
Παράρτημα I · I(1)
Πολιτική συστατικών τρίτων & ανοιχτού κώδικαΝΕΟΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΚαθορίστε τον τρόπο επιλογής, αξιολόγησης και έγκρισης των συστατικών τρίτων και ανοιχτού κώδικα, συμπεριλαμβανομένων των ελάχιστων υποχρεώσεων EOL και απόκρισης σε ευπάθειες.
Παράρτημα I · Μέρος II
Έλεγχος EOL για εργαλεία και εξαρτήσειςΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΕλέγξτε την ημερομηνία τέλους ζωής όλων των βασικών εργαλείων, πυρήνων, βάσεων δεδομένων και βιβλιοθηκών. Αποφύγετε συστατικά των οποίων το EOL εμπίπτει εντός της διάρκειας υποστήριξης του προϊόντος.
Παράρτημα I · Μέρος II
Δυνατότητα κρυπτογράφησης αποθήκευσηςΕπιβεβαιώστε ότι το υλικό-στόχος υποστηρίζει κρυπτογράφηση των δεδομένων εν στάσει· υποχρεωτική απαίτηση που ενδέχεται να επιβάλει αλλαγή υλικού.
Παράρτημα I · I(4)(ε)
Σχεδιασμός ελάχιστης επιφάνειας επίθεσηςΝΕΟΠρογραμματίστε την αφαίρεση ή την εξ ορισμού απενεργοποίηση κάθε διεπαφής, υπηρεσίας, θύρας και πρωτοκόλλου που δεν απαιτείται για την προβλεπόμενη λειτουργία.
Παράρτημα I · I(2)(β)
Πολιτική προεπιλεγμένων διαπιστευτηρίωνΝΕΟΠαραδίδετε χωρίς προεπιλεγμένους κωδικούς πρόσβασης, ή αναγκάστε τον χρήστη να ορίσει μοναδικό διαπιστευτήριο κατά την πρώτη χρήση.
Παράρτημα I · I(2)(γ)
3 · Ανάπτυξη
Κατά την ανάπτυξη
0 / 5Ασφαλής κωδικοποίηση, δοκιμές και ο μηχανισμός ενημέρωσης, τεκμηριωμένα καθ' όλη τη διάρκεια της κατασκευής.
Σχέδιο δοκιμών εστιασμένο στην κυβερνοασφάλειαΠεριπτώσεις δοκιμών που στοχεύουν στον έλεγχο ταυτότητας, τον έλεγχο πρόσβασης, την επικύρωση εισόδου, την κρυπτογράφηση και τον χειρισμό σφαλμάτων. Τεκμηριωμένες και διατηρούμενες στον τεχνικό φάκελο.
Παράρτημα I · I(1)
Αποδεικτικά στοιχεία συμμόρφωσης με τον SDLΑποδείξτε, με τεκμηριωμένα αποδεικτικά στοιχεία, ότι ο SDL τηρήθηκε σε κάθε φάση.
Παράρτημα I · Μέρος I
Δοκιμές διείσδυσης / αξιολόγηση ευπαθειώνΝΕΟΔιενεργήστε δοκιμές ασφάλειας στο προϊόν ή σε αντιπροσωπευτική έκδοση πριν από την κυκλοφορία.
Παράρτημα I · I(1)
Ασφαλής μηχανισμός ενημέρωσης λογισμικούΝΕΟΈνας μηχανισμός ενημέρωσης με έλεγχο ταυτότητας και επαλήθευση ακεραιότητας, επαληθεύσιμος από τη συσκευή πριν από την εγκατάσταση και αυτόματος όπου είναι εφικτό.
Παράρτημα I · I(2)(στ)
Ελαχιστοποίηση δεδομένωνΝΕΟΣυλλέγετε, επεξεργάζεστε και αποθηκεύετε μόνο τα δεδομένα που είναι αυστηρά αναγκαία για την προβλεπόμενη λειτουργία.
Παράρτημα I · I(4)(στ)
4 · Πριν από την κυκλοφορία
Πριν από την κυκλοφορία του προϊόντος
0 / 12SBOM, έλεγχος δικτύου, EOL, αξιολόγηση της συμμόρφωσης, σήμανση CE και ο τεχνικός φάκελος.
SBOM καταρτισμένο και ελεγμένο για ευπάθειεςΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΚαταρτίστε ένα SBOM που καλύπτει τουλάχιστον όλες τις εξαρτήσεις ανώτατου επιπέδου και επαληθεύστε ότι κανένα συστατικό δεν φέρει γνωστή, ήδη διορθωμένη ευπάθεια. Η συμπερίληψη μιας επιλυμένης CVE συνιστά άμεση παράβαση.
Παράρτημα I · II(1)
SBOM σε μηχαναγνώσιμο μορφότυποΝΕΟΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΑποθηκεύστε το SBOM ως SPDX ή CycloneDX (JSON/XML). Το PDF ενδέχεται να απορριφθεί ως μη μηχαναγνώσιμο.
Παράρτημα I · Μέρος II
Κατάλογος εισερχόμενων συνδέσεωνΚαταγράψτε και αιτιολογήστε χωριστά κάθε εισερχόμενη σύνδεση και ανοιχτή θύρα· αφαιρέστε ή απενεργοποιήστε εξ ορισμού οτιδήποτε δεν απαιτείται.
Παράρτημα I · I(2)(β)
Κατάλογος εξερχόμενων συνδέσεωνΕλέγξτε και αιτιολογήστε όλες τις εξερχόμενες συνδέσεις, συμπεριλαμβανομένων εκείνων από το λειτουργικό σύστημα, βιβλιοθήκες τρίτων και τηλεμετρία.
Παράρτημα I · Μέρος I
Δηλώστε το τέλος ζωής του προϊόντοςΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΥπολογίστε και δηλώστε το EOL· δεν μπορεί να υπερβαίνει το EOL των βασικών εξαρτήσεων. Ελάχιστη περίοδος υποστήριξης 5 ετών, εκτός εάν η αναμενόμενη διάρκεια χρήσης είναι συντομότερη.
Art. 13(8)
Ολοκληρώστε την αξιολόγηση της συμμόρφωσηςΝΕΟΔιενεργήστε την εφαρμοστέα διαδικασία (Module A, ή B+C / H / Κοινοποιημένος Οργανισμός) και τεκμηριώστε την πριν από την τοποθέτηση της σήμανσης CE.
Art. 32
Προετοιμάστε τη δήλωση συμμόρφωσης ΕΕΝΕΟΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΣυντάξτε και υπογράψτε το DoC σύμφωνα με το παράρτημα V, παραπέμποντας στον κανονισμό, στο προϊόν και στη διαδικασία αξιολόγησης. Διατηρήστε το διαθέσιμο για 10 έτη.
άρθρο 28 · Παράρτημα V
Τοποθετήστε τη σήμανση CEΝΕΟΤοποθετήστε ευδιάκριτη, ευανάγνωστη, ανεξίτηλη σήμανση CE. Χωρίς σήμανση CE, καμία πρόσβαση στην αγορά της ΕΕ από τις 11 Δεκ 2027.
Art. 30
Καταρτίστε τον τεχνικό φάκελοΝΕΟΣυγκεντρώστε τον φάκελο του παραρτήματος VII: περιγραφή, εκτίμηση κινδύνου, αποδεικτικά στοιχεία SDL, αποτελέσματα δοκιμών, SBOM, ελέγχους συνδέσεων, DoC και δήλωση EOL.
άρθρο 31 · Παράρτημα VII
Σχέδιο διατήρησης 10 ετώνΝΕΟΑρχειοθετήστε όλη την τεχνική τεκμηρίωση, συμπεριλαμβανομένης κάθε έκδοσης SBOM, για τουλάχιστον 10 έτη από την πρώτη διάθεση στην αγορά.
Art. 31(3)
Τεκμηρίωση προς τον χρήστηΝΕΟΓνωστοποιήστε την προβλεπόμενη χρήση, τις ιδιότητες κυβερνοασφάλειας, τον τρόπο διαμόρφωσης της ασφάλειας, το δηλωμένο EOL και τον τρόπο αναφοράς ευπαθειών.
Παράρτημα II · άρθρο 13(18)
Δημοσιεύθηκε σημείο επικοινωνίας για τη γνωστοποίηση ευπαθειώνΝΕΟΔημοσιεύστε ένα ενιαίο, ενεργά παρακολουθούμενο σημείο επικοινωνίας για την αναφορά ευπαθειών.
Art. 13(5)
5 · Μετά την κυκλοφορία
Μετά την κυκλοφορία του προϊόντος
0 / 10Διαρκής παρακολούθηση, το χρονοδιάγραμμα αναφοράς του άρθρου 14 και οι υποχρεώσεις ενημέρωσης καθ' όλη τη διάρκεια της περιόδου υποστήριξης.
Επικαιροποιήστε την εκτίμηση κινδύνου σε περίπτωση σημαντικής αλλαγήςΕπαναξιολογήστε όταν εντοπίζεται σημαντική αλλαγή προϊόντος, σημαντική νέα απειλή ή αξιοποιούμενη ευπάθεια· τεκμηριώστε το έναυσμα και το αποτέλεσμα.
Παράρτημα I · I(1)
Αυτοματοποιημένη παρακολούθηση ευπαθειών SBOMΔΙΑΘΕΣΙΜΟ ΕΡΓΑΛΕΙΟΑναπτύξτε εργαλεία που παρακολουθούν τα συστατικά του SBOM έναντι ζωντανών ροών (NVD, EUVD, OSV) με επαρκή συχνότητα ώστε να πληρούται το χρονικό περιθώριο αναφοράς των 24 ωρών. Η χειροκίνητη παρακολούθηση είναι ανεπαρκής.
Art. 14
Αρχική αναφορά ευπάθειας εντός 24 ωρώνΝΕΟΜόλις λάβετε γνώση ενεργά αξιοποιούμενης ευπάθειας, υποβάλετε αρχική αναφορά εντός 24 ωρών μέσω της ενιαίας πλατφόρμας αναφοράς του ENISA. Εφαρμόζεται από τις 11 Σεπ 2026.
Art. 14(2)
Τεχνική έκθεση εντός 72 ωρώνΝΕΟΥποβάλετε λεπτομερή τεχνική έκθεση στον ENISA και στην εθνική CSIRT εντός 72 ωρών, συμπεριλαμβανομένης της σοβαρότητας και τυχόν μέτρων μετριασμού.
Art. 14(3)
Τελική έκθεση εντός 14 ημερών από την αποκατάστασηΝΕΟΥποβάλετε τελική έκθεση το αργότερο 14 ημέρες μετά τη διαθεσιμότητα ενημέρωσης ασφάλειας ή λύσης παράκαμψης.
Art. 14(4)
Αναφορά σοβαρών συμβάντωνΝΕΟΑναφέρετε τα σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος σύμφωνα με το ίδιο χρονοδιάγραμμα 24/72 ωρών.
Art. 14(2)
Αυτόματη ενημέρωση για ευπάθειες τρίτωνΤηρείτε ένα σύστημα αυτόματης ενημέρωσης ικανό να διορθώνει ευπάθειες συστατικών τρίτων. Μια διόρθωση εντός 24 ωρών απαλλάσσει από την αναφορά, όχι από τη διόρθωση.
Art. 14(2)(a)
Ενημερώσεις ασφάλειας δωρεάνΝΕΟΠαρέχετε όλες τις ενημερώσεις ασφάλειας δωρεάν καθ' όλη τη διάρκεια της περιόδου υποστήριξης.
Art. 13(9)
Προειδοποίηση εκ των προτέρων για το τέλος ζωήςΝΕΟΕιδοποιήστε τους χρήστες τουλάχιστον 12 μήνες πριν από την τελική ενημέρωση ασφάλειας, όπου είναι εφικτό.
Art. 13(8)
Διορθωτικά μέτρα για μη συμμορφούμενα προϊόνταΝΕΟΑποκαταστήστε, αποσύρετε ή ανακαλέστε τα μη συμμορφούμενα προϊόντα και ενημερώστε την εποπτεία της αγοράς. Η αδράνεια αποτελεί η ίδια παράβαση.
Art. 13(14)
Τέλος του καταλόγου ελέγχου · όλα 40 στοιχεία που εμφανίζονται ανωτέρω
Εξαγωγή (προαιρετικά)
Εξαγάγετε τη μήτρα σας με την τρέχουσα πρόοδό σας
Όλα τα ανωτέρω είναι διαθέσιμα προς ανάγνωση και εκτύπωση δωρεάν. Για να μεταφορτώσετε τον κατάλογο ελέγχου και τη ζωντανή κατάστασή σας ως υπολογιστικό φύλλο ή PDF, αφήστε μια διεύθυνση email και θα σας προσθέσουμε στο ενημερωτικό δελτίο CRA.