CRA-útmutató szoftverfejlesztők számára
Hogyan vonatkozik a kiberellenálló-képességi rendelet a szoftvertermékekre; a biztonságos fejlesztéstől a sebezhetőségkezelésig, az SBOM-okig és a CE-jelölésig.
Megfelelőségi lépések
Erősítse meg a hatályt és az osztályt
Art. 2 · 6Az uniós piacon adatkapcsolattal forgalomba hozott szoftverek többsége a hatály alá tartozik, és számos fejlesztői eszköz a III. melléklet „fontos” kategóriájába esik.
- ✓Futtassa le a CRA gyorsellenőrzést a hatály megerősítéséhez
- ✓Állapítsa meg, hogy a terméke alapértelmezett, fontos vagy kritikus
- ✓Rögzítse az indoklást a dokumentációjában
Építse be a biztonságot tervezés útján
Annex I · ITervezze és fejlessze a terméket úgy, hogy életciklusa során végig megfeleljen az alapvető biztonsági tulajdonságoknak.
- ✓Szállítson alapértelmezetten biztonságos konfigurációt
- ✓Alkalmazzon hitelesítést és hozzáférés-ellenőrzést
- ✓Védje az adatokat titkosítással átvitel közben és nyugalmi állapotban
- ✓Minimalizálja a támadási felületet és a feltárt felületeket
A hibakeresési felületek, az alapértelmezett hitelesítő adatok vagy a részletes hibakimenet engedélyezve hagyása az éles összeállításokban.
Hozza létre a sebezhetőségkezelést
Annex I · IIMűködtessen egy dokumentált folyamatot a sebezhetőségek felderítésére, javítására és közzétételére a támogatási időszak során.
- ✓Tegyen közzé összehangolt sebezhetőség-közzétételi szabályzatot
- ✓Biztosítson kapcsolattartási pontot a problémák bejelentéséhez
- ✓Orvosolja a sebezhetőségeket indokolatlan késedelem nélkül
- ✓Hozza nyilvánosságra a javított sebezhetőségeket, amint elérhető a frissítés
Tartson fenn szoftvertermék-jegyzéket
I. melléklet · II(1)Tartson naprakészen egy SBOM-ot, amely legalább a terméke legfelső szintű függőségeire kiterjed.
- ✓Készítsen SBOM-ot géppel olvasható formátumban
- ✓Kövesse nyomon az összetevőket és azok ismert sebezhetőségeit
- ✓Tartsa naprakészen minden kiadásnál
Szállítson díjmentes, időben nyújtott biztonsági frissítéseket
Annex I · I(2)Biztosítson biztonsági frissítéseket a funkciófrissítésektől elkülönítve, díjmentesen, a kinyilvánított támogatási időszak alatt.
- ✓Határozza meg és tegye közzé a támogatási időszakot
- ✓Biztosítson biztonsági frissítéseket időben
- ✓Terjessze a javításokat biztonságos mechanizmuson keresztül
Állítsa össze a műszaki dokumentációt
VII. mellékletÁllítsa össze a megfelelőséget igazoló dokumentációt, és tartsa elérhetővé a piacfelügyelet számára.
- ✓Termékleírás és tervezett felhasználás
- ✓Kiberbiztonsági kockázatértékelés
- ✓Az alkalmazott szabványok nyilvántartásai
Értékelje a megfelelőséget és helyezze el a CE-jelölést
Art. 32 · 36Hajtsa végre az osztályához tartozó megfelelőségértékelési útvonalat, és állítsa ki az EU-megfelelőségi nyilatkozatot.
- ✓Végezzen önértékelést (alapértelmezett), vagy vegyen igénybe bejelentett szervezetet (fontos/kritikus)
- ✓Készítse el és írja alá az EU-megfelelőségi nyilatkozatot
- ✓Helyezze el a CE-jelölést
Teljesítse a jelentéstételi kötelezettségeket és tartsa karban a terméket
Art. 13(8) · 142026 szeptemberétől jelentse be az aktívan kihasznált sebezhetőségeket és a súlyos incidenseket, és tartsa karban a terméket a teljes támogatási időszaka alatt.
- ✓Nyújtson be korai előrejelzést az ENISA-nak és a CSIRT-nek 24 órán belül
- ✓Kövesse ezt egy értesítéssel és egy végleges jelentéssel
- ✓Tájékoztassa az érintett felhasználókat, ahol indokolt
A támogatási időszaknak legalább öt évnek kell lennie (vagy a termék várható élettartamának, ha az hosszabb), az uniós piacon való forgalomba hozataltól számítva. Ennek során kezelnie kell a sebezhetőségeket, és díjmentes biztonsági frissítéseket kell biztosítania; minden frissítésnek ezt követően 10 évig elérhetőnek kell maradnia, a műszaki dokumentációt és az EU-nyilatkozatot pedig 10 évig meg kell őrizni.
Az alábbi minden eszköz ingyenesen használható, és itt nyílik meg egy oldalpanelben, így nem veszíti el a helyét.
Erősítse meg, hogy a rendelet alkalmazandó-e, és mi a valószínű osztálya.
Megnyitás itt →IngyenesMegfelelőségi mátrixTérképezze fel minden I. és VII. melléklet szerinti kötelezettséget, és kövesse nyomon a teljesítésig.
Megnyitás itt →IngyenesKöltségkalkulátorBecsülje meg a megfelelés egyszeri és éves költségét.
Megnyitás itt →IngyenesSebezhetőségelemzőVesse össze az SBOM-ot az NVD-vel és az EUVD-vel, és kövesse nyomon az életciklusvégi összetevőket.
Megnyitás itt →IngyenesDoC-generátorKészítsen EU-megfelelőségi nyilatkozatot (V. melléklet) a termékéhez.
Megnyitás itt →IngyenesOsztályozáskeresőPontosan állapítsa meg név szerint, hogy a terméke alapértelmezett, fontos vagy kritikus.
Megnyitás itt →IngyenesTámogatásiidőszak-tervezőÁllítsa be a minimális támogatási időszakot, és jelölje meg azokat az összetevőket, amelyek túl korán érik el az életciklusuk végét.
Megnyitás itt →Egyéb érdekelti útmutatók
Gyártók
A kiberellenálló-képességi rendelet által a digitális elemeket tartalmazó termékek gyártóira rótt kötelezettségek; a kockázatértékeléstől a CE-jelölésig és a forgalomba hozatal utáni kötelezettségekig.
Importőrök és forgalmazók
Mit kell a gazdasági szereplőknek ellenőrizniük, mielőtt; és miután; egy digitális elemeket tartalmazó terméket forgalmaznak az uniós piacon.
Hogyan szerezhető CE-jelölés
A megfelelőség kinyilvánításának és a CE-jelölés elhelyezésének lépései egy digitális elemeket tartalmazó termék esetében.