Przewodnik CRA dla twórców oprogramowania
Jak akt o cyberodporności ma zastosowanie do produktów programowych; od bezpiecznego opracowywania po postępowanie w przypadku podatności, SBOM i oznakowanie CE.
Etapy zapewnienia zgodności
Potwierdź zakres stosowania i klasę
Art. 2 · 6Większość oprogramowania wprowadzanego do obrotu na rynku UE wyposażonego w połączenie danych jest objęta zakresem stosowania, a wiele narzędzi deweloperskich należy do kategorii produktów „istotnych” z załącznika III.
- ✓Skorzystaj z CRA Fast Check, aby potwierdzić zakres stosowania
- ✓Ustal, czy Twój produkt jest domyślny, istotny czy krytyczny
- ✓Udokumentuj uzasadnienie w dokumentacji
Wbudowanie bezpieczeństwa już na etapie projektowania
Annex I · IZaprojektuj i opracuj produkt tak, aby spełniał zasadnicze właściwości bezpieczeństwa w całym cyklu jego życia.
- ✓Dostarczanie produktu z konfiguracją domyślnie bezpieczną
- ✓Wdróż uwierzytelnianie i kontrolę dostępu
- ✓Chroń dane za pomocą szyfrowania w trakcie przesyłania i w spoczynku
- ✓Minimalizuj powierzchnię ataku i udostępnione interfejsy
Pozostawianie włączonych interfejsów debugowania, domyślnych danych uwierzytelniających lub szczegółowych komunikatów o błędach w wersjach produkcyjnych.
Ustanów postępowanie w przypadku podatności
Annex I · IIStosuj udokumentowany proces wykrywania, usuwania i ujawniania podatności przez cały okres wsparcia.
- ✓Opublikuj politykę skoordynowanego ujawniania podatności
- ✓Zapewnij punkt kontaktowy do zgłaszania problemów
- ✓Usuwaj podatności bez zbędnej zwłoki
- ✓Ujawniaj usunięte podatności po udostępnieniu aktualizacji
Utrzymywanie zestawienia składników oprogramowania (SBOM)
Załącznik I · II(1)Utrzymywanie aktualnego SBOM obejmującego co najmniej zależności najwyższego poziomu produktu.
- ✓Wygeneruj SBOM w formacie nadającym się do odczytu maszynowego
- ✓Śledź komponenty i ich znane podatności
- ✓Aktualizowanie przy każdym wydaniu
Dostarczanie bezpłatnych, terminowych aktualizacji zabezpieczeń
Annex I · I(2)Zapewniaj aktualizacje zabezpieczeń oddzielnie od aktualizacji funkcjonalnych, bezpłatnie, przez zadeklarowany okres wsparcia.
- ✓Określ i opublikuj okres wsparcia
- ✓Dostarczaj aktualizacje zabezpieczeń bez zbędnej zwłoki
- ✓Dystrybuuj poprawki za pomocą bezpiecznego mechanizmu
Skompletuj dokumentację techniczną
Załącznik VIIZgromadź dokumentację potwierdzającą zgodność i udostępniaj ją na potrzeby nadzoru rynku.
- ✓Opis produktu i przeznaczenie
- ✓Ocena ryzyka w zakresie cyberbezpieczeństwa
- ✓Rejestry zastosowanych norm
Oceń zgodność i umieść oznakowanie CE
Art. 32 · 36Przeprowadź właściwą dla swojej klasy procedurę oceny zgodności i sporządź deklarację zgodności UE.
- ✓Samoocena (produkty domyślne) albo skorzystanie z jednostki notyfikowanej (produkty istotne/krytyczne)
- ✓Sporządź i podpisz deklarację zgodności UE
- ✓Umieść oznakowanie CE
Wypełnij obowiązki sprawozdawcze i utrzymuj produkt
Art. 13(8) · 14Od września 2026 r. zgłaszaj aktywnie wykorzystywane podatności oraz poważne incydenty i utrzymuj produkt przez cały jego okres wsparcia.
- ✓Proszę przekazać wczesne ostrzeżenie do ENISA i CSIRT w ciągu 24 godzin
- ✓Następnie przekaż zgłoszenie i sprawozdanie końcowe
- ✓Informowanie zainteresowanych użytkowników w stosownych przypadkach
Okres wsparcia musi wynosić co najmniej pięć lat (lub odpowiadać spodziewanemu okresowi użytkowania produktu, jeśli jest dłuższy), licząc od chwili wprowadzenia produktu do obrotu w UE. Przez cały ten czas należy postępować w przypadku podatności i zapewniać bezpłatne aktualizacje zabezpieczeń; każda aktualizacja musi następnie pozostawać dostępna przez 10 lat, a dokumentacja techniczna i deklaracja zgodności UE muszą być przechowywane przez 10 lat.
Każde z poniższych narzędzi jest bezpłatne i otwiera się tutaj w panelu bocznym, dzięki czemu nie tracisz miejsca, w którym się znajdujesz.
Potwierdź, czy akt ma zastosowanie, oraz prawdopodobną klasę produktu.
Otwórz tutaj →BezpłatnieMacierz zgodnościPrzyporządkuj każdy obowiązek z załącznika I oraz VII i monitoruj jego realizację aż do zakończenia.
Otwórz tutaj →BezpłatnieKalkulator kosztówOszacuj jednorazowy i roczny koszt zgodności.
Otwórz tutaj →BezpłatnieAnalizator podatnościWeryfikuj krzyżowo swój SBOM z NVD i EUVD oraz śledź składniki osiągające koniec okresu eksploatacji.
Otwórz tutaj →BezpłatnieGenerator DoCWygeneruj deklarację zgodności UE (załącznik V) dla swojego produktu.
Otwórz tutaj →BezpłatnieWyszukiwarka klasyfikacjiUstal precyzyjnie, czy Twój produkt jest produktem domyślnym, istotnym czy krytycznym, na podstawie nazwy.
Otwórz tutaj →BezpłatniePlaner okresu wsparciaProszę ustalić minimalny okres wsparcia i oznaczyć składniki, których koniec życia (End-of-Life) przypada zbyt wcześnie.
Otwórz tutaj →Inne przewodniki dla interesariuszy
Producenci
Obowiązki nakładane przez akt o cyberodporności na producentów produktów z elementami cyfrowymi; od oceny ryzyka po oznakowanie CE i obowiązki po wprowadzeniu do obrotu.
Importerzy i dystrybutorzy
Co podmioty gospodarcze muszą zweryfikować przed udostępnieniem produktu z elementami cyfrowymi na rynku UE; i po jego udostępnieniu.
Jak uzyskać oznakowanie CE
Kroki niezbędne do zadeklarowania zgodności i umieszczenia oznakowania CE na produkcie z elementami cyfrowymi.