Svarbiausia informacija
Šiame CRA atitikties gide aptariami Kibernetinio atsparumo akto reikalavimai techninės ir programinės įrangos gaminiams, parduodamiems Europos Sąjungoje. Jie apima atitiktį baziniams kibernetinio saugumo standartams, programinės įrangos sudėties sąrašo (SBOM) turėjimą ir pažeidžiamumų valdymo procesą visam gaminio palaikymo laikotarpiui.
- Atskaitomybės laikotarpis įsigalioja nuo 2026 m. rugsėjo 11 d.
- Visiškas atitikimas, įskaitant CE ženklinimą ir atitikties vertinimą, reikalingas nuo 2027 m. gruodžio 11 d.
- Reikalavimų nesilaikymas gali kainuoti iki 15 mln. EUR arba 2,5 proc. pasaulinės metinės apyvartos.
- Bendrovės, kurios jau dabar pradeda savo gaminių rizikos vertinimą, 2027 metus praleis pristatydamos naujus produktus, o ne skubėdamos juos pritaikyti naujiems reikalavimams.
Laikas, skirtas pasiruošti ES Kibernetinio atsparumo aktui senka. Verslams, kuriantiems, importuojantiems ar parduodantiems techninę bei programinę įrangą Europoje, šie terminai tampa svarbiu produktų strategijos aspektu. Šis CRA atitikties gidas aptaria Reglamentą (ES) 2024/2847, geriau žinomą kaip Kibernetinio atsparumo aktas (CRA), – pirmąjį ES horizontalųjį įstatymą, paverčiantį kibernetinį saugumą ne tik gera praktika, o teisine patekimo į rinką sąlyga.
Šis gidas yra skirtas vadovams, įkūrėjams bei atitikties ir rizikos vadovams, tačiau nedengia teisinės dalies. Vietoje to rasite, ko iš tiesų reikalauja CRA, kokioms įmonėms būtina įgyvendinti šį aktą, kurie gaminiai patenka į taikymo sritį, kokie yra terminai, kiek kainuoja reikalavimų nesilaikymas ir kaip atrodo realus pasirengimo kelias, iki pilno įstatymo įsigaliojimo 2027 m. gruodžio 11 d.
Kam privaloma atitikti CRA reikalavimus?
CRA reikalavimai taikomi gamintojams, importuotojams ir platintojams – visiems, kurie kuria, įveža ar tiekia rinkai skaitmeninių elementų turinčius produktus ES. Didžiausia atsakomybės dalis tenka gamintojams.
CRA priskiria skirtingus vaidmenis skirtingiems tiekimo grandinės dalyviams, o didžioji atsakomybė dalis tenka gamintojams. Supratimas, kokį vaidmenį atlieka jūsų verslas (kartais – daugiau nei vieną), yra pirmasis bet kokio atitikties plano žingsnis.
Gamintojams
Gamintojams tenka pagrindinė atitikties našta pagal CRA – jiems priskiriama bene daugiausiai reglamente nustatytų reikalavimų. Jei jūsų bendrovė projektuoja gaminį su skaitmeniniais elementais, kuria jame veikiančią programinę įrangą arba turi trečiosios šalies pagamintą gaminį su jūsų prekės ženklu, ES teisės požiūriu esate gamintojas, nepriklausomai nuo to, kur įsikūrusi jūsų inžinerijos komanda.
Ši pozicija apima kibernetinio saugumo rizikos vertinimo atlikimą prieš pateikiant gaminį rinkai, atitikties I-ojo priedo esminiams reikalavimams užtikrinimą, ES atitikties deklaracijos parengimą, CE ženklo uždėjimą, pažeidžiamumų valdymo politikos palaikymą visą gaminio gyvavimo laikotarpį ir programinės įrangos sudėties sąrašo (SBOM) parengimą.
Be to, gamintojams taip pat tenka pareiga pranešti apie aktyviai išnaudojamus pažeidžiamumus – tai pirmoji pareiga, kurią reiks vykdyti nuo 2026 m. rugsėjo.
Importuotojams
Importuotojai – tai ES įsteigtos bendrovės, pateikiančios ES rinkai ne ES gamintojo gaminį. Jų pagrindinė pareiga yra patikrinti ne ES importo atitiktį: prieš įvežant gaminį, importuotojas privalo įsitikinti, kad gamintojas atliko tinkamą atitikties vertinimą, parengė techninę dokumentaciją ir teisingai uždėjo CE ženklą.
Jei importuotojas turi pagrindo manyti, kad gaminys neatitinka CRA reikalavimų, jis negali pateikti šio gaminio rinkai, kol problema nebus išspręsta. Importuotojas taip pat privalo informuoti tiek gamintoją, tiek atitinkamą rinkos priežiūros instituciją.
Platintojams
Platintojams – mažmenininkams, perpardavėjams ir prekyvietėms, kurie pateikia gaminį rinkai jo negamindami bei neimportuodami – tenka mažesnė reikalavimų apimtis. Prieš įtraukdamas gaminį į asortimentą ar jį parduodamas, platintojas privalo patikrinti, ar yra CE ženklas, ES atitikties deklaracija ir reikiama dokumentacija. Jei platintojas sužino apie reikalavimų neatitinkantį ar pažeidžiamą gaminį, jau esantį jo lentynose ar parduotuvėje, jis privalo imtis veiksmų, įskaitant skelbimo pašalinimą ir gamintojo ar importuotojo informavimą.
Įgaliotiesiems atstovams
Už ES ribų įsikūręs gamintojas, norintis parduoti savo gaminius šioje rinkoje, privalo paskirti įgaliotąjį atstovą – ES įsisteigusį juridinį ar fizinį asmenį, veikiantį kaip gamintojo ne ES atstovas reguliaciniais tikslais. Įgaliotasis atstovas saugo techninę dokumentaciją, bendradarbiauja su nacionalinėmis rinkos priežiūros institucijomis (Lietuvoje tai koordinuojama su NKSC) ir gali būti patrauktas atsakomybėn, jei tiesiogiai susisiekti su gamintoju nepavyksta. Ne ES gamintojams šio atstovo paskyrimas iš anksto nėra pasirenkamas administracinis formalumas – tai sąlyga apskritai teisėtai patekti į ES rinką.
CRA taikymo sritis: kurie skaitmeniniai gaminiai patenka į jo apimtį?
CRA taikomas bet kokiai techninei ar programinei įrangai, kuri jungiasi prie kito įrenginio ar tinklo (tiesiogiai arba netiesiogiai). Kitaip tariant, jei gaminys gali „kalbėtis“ su kuo nors kitu, jis patenka į taikymo sritį.
Oficialiai tai vadinama gaminiais su skaitmeniniais elementais – tai bet kokia techninė ar programinė įranga kartu su jos nuotolinio duomenų apdorojimo sprendimais. Būtent ryšys – loginis ar fizinis, tiesioginis ar netiesioginis – ir nulemia, ar gaminys patenka į CRA apimtį.
CRA yra taikoma šiems gaminiams:
- Techninei įrangai su skaitmeniniais komponentais – nuo pramoninių jutiklių iki plataus vartojimo elektronikos.
- Vietoje diegiamai (angl. on-premises) programinei įrangai, įskaitant įmonių programas ir integruotas sistemas.
- Integruotai programinei-aparatinei įrangai (angl. firmware), veikiančiai prijungtuose įrenginiuose.
- Nuotolinio duomenų apdorojimo sprendimams, būtiniems reguliuojamo gaminio veikimui, net jei šis apdorojimas vyksta debesijoje.
Kas neįtraukta į CRA taikymo sritį?
Dvi kategorijos pagal apibrėžimą nepatenka į CRA. NIS2 reguliuoja, kaip paslauga eksploatuojama, o CRA – kaip gaminys yra kuriamas. Todėl programinė įranga kaip paslauga (SaaS), kuri nėra būtina atskirai parduodamo gaminio veikimui, paprastai patenka į TIS2, o ne CRA, taikymo sritį. Riba tampa plonesnė, kai SaaS komponentas yra neatsiejamas nuo techninės ar programinės įrangos gaminio pagrindinės funkcijos. Tokiu atveju nuotolinio apdorojimo elementas gali įtraukti visą pasiūlymą atgal į CRA taikymo sritį.
Atvirojo kodo programinė įranga, sukurta ne komercinės veiklos rėmuose, taip pat neįtraukiama į gamintojo pareigas. Kai atvirojas kodas integruojamas į komercinį gaminį ar apmokamą palaikymo paslaugą, jį pristatanti bendrovė pagal CRA perima visą atsakomybę už šį kodą. Reglamentas nustato lengvesnį, pritaikytą režimą „atvirojo kodo programinės įrangos globėjams“ – organizacijoms, teikiančioms nuolatinę, nekomercinę paramą nemokamam ir atviro kodo projektui, naudojamam kituose komerciniuose gaminiuose.
Nedidelė dalis sektorių, jau reguliuojamų vienodai griežtais ES gaminių saugos režimais, įskaitant medicinos priemones, motorines transporto priemones, aviaciją ir karinę įrangą, taip pat yra išbraukti, siekiant išvengti dvigubo reguliavimo.
Kas yra „gaminys su skaitmeniniais elementais“?
Gaminys su skaitmeniniais elementais – tai bet kokia techninė ar programinė įranga, kurios numatyta ar pagrįstai nuspėjama naudojimo paskirtis apima tiesioginį ar netiesioginį loginį ar fizinį ryšį su įrenginiu ar tinklu. Klasifikacija grindžiama gaminio pagrindine funkcija, o ne kiekvienu jame esančiu komponentu. Bendros paskirties nešiojamasis kompiuteris, kuriame įdiegtas slaptažodžių tvarkyklės įrankis, vis tiek vertinamas kaip numatytosios kategorijos nešiojamasis kompiuteris. Pati slaptažodžių tvarkyklė, parduodama kaip atskiras gaminys, atitiktų griežtesnius I klasės reikalavimus, aprašytus toliau.
Pagrindiniai CRA kibernetinio saugumo reikalavimai gamintojams
Esminiai CRA kibernetinio saugumo reikalavimai išdėstyti I-ame priede ir remiasi vienu principu: gaminiai turi būti gaminami teikiant pirmenybę saugumui pagal numatytuosius nustatymus, o ne būti apsaugomi po fakto. Reikalavimai skirstomi į dvi grupes:
- saugumo savybes, kurias gaminys turi turėti pateikimo rinkai momentu,
- pažeidžiamumų valdymo procesą, kurį gamintojas privalo vykdyti visą gaminio palaikymo laikotarpiu.
Naudingiausias būdas verslo komandai suprasti I-ąjį priedą – žvelgti per gaminio gyvavimo ciklo prizmę.
Projektavimo etapas
Saugumo darbas prasideda dar prieš parašant pirmą kodo eilutę. Iš gamintojų tikimasi, kad jie atliks rizika grįstą turto (išteklių) išplanavimą ir dokumentuotą gaminio kibernetinio saugumo rizikos vertinimą. Taip pat tikimasi, kad projektavimo etape bus nustatyta, kaip pažeidžiamumus būtų galima izoliuoti, ribojant galimos žalos apimtį, ir visoje architektūroje bus taikoma saugumo pagal dizainą principus, pavyzdžiui, atakos paviršiaus mažinimą.
Kūrimo etapas
Kūrimo metu CRA reikalauja saugių numatytųjų nustatymų iš karto: jokių numatytųjų ar fiksuotų (angl. hard-coded) slaptažodžių ir, kai aktualu, integruotos apsaugos nuo klastojimo. Čia taip pat taikomas duomenų minimizavimas – gaminys turi apdoroti tik tuos duomenis, kurių jam iš tiesų reikia funkcionuoti, taip sumažinant, ką užpuolikas apskritai galėtų atskleisti.
Pateikimo etapas
Prieš pateikiant gaminį rinkai, gamintojas privalo parengti programinės įrangos sudėties (SBOM) sąrašą – paprastai mašininio skaitymo formatu, tokiu kaip SPDX ar CycloneDX. Taip pat, privaloma atlikti testavimą, patvirtinantį, kad gaminys atitinka esminius reikalavimus. Tai dokumentacijos vartai: gaminys be aktualaus SBOM saugumo sąrašo ir testavimo įrodymų nėra paruoštas pateikti ES rinkai.
Palaikymo etapas
Atitiktis nesibaigia paleidus gaminį. Gamintojai privalo įsipareigoti dėl apibrėžto palaikymo laikotarpio (ne trumpesnio nei penkeri metai, nebent gaminio realus naudojimo laikotarpis yra trumpesnis), per kurį jie teikia viso gyvavimo ciklo saugumo atnaujinimus ir taiso pažeidžiamumus be nepagrįsto delsimo. Privaloma paskelbti koordinuoto pažeidžiamumų atskleidimo politiką, suteikiančią saugumo tyrėjams aiškų, saugų kanalą pranešti apie problemas, o ne pirmiausia jas atskleisti viešai.
Gaminių rizikos klasifikavimas
CRA suskirsto gaminius su skaitmeniniais elementais į rizikos lygius, ir šis lygis nulemia, ar gamintojas gali atlikti savideklaraciją, ar privalo gaminius deklaruoti per trečiuosius asmenis.
Numatytoji (nekvalifikuota) kategorija
Dauguma gaminių su skaitmeniniais elementais patenka į numatytąją kategoriją. Gamintojas gali pats atlikti savideklaraciją pagal I-ąjį priedą ir savo noru pasirinkti griežtesnį kelią, tačiau įtraukti išorinę instituciją nėra privaloma. Tai mažiausiai ribojimų turintis kelias.
I-oji klasė (žemesnio lygio svarbumas)
I-ai klasei priklauso gaminiai, atliekantys su saugumu susijusias funkcijas, tačiau keliantys palyginti mažesnę riziką, jei kas nors nutinka blogai. Naršyklės, slaptažodžių tvarkyklės ir viešojo rakto infrastruktūra – klasikiniai pavyzdžiai. Gamintojai čia vis dar gali patys sertifikuotis, kai paskelbiami atitinkami suderinti standartai, arba pasirinkti trečiosios šalies vertinimą, jei tokių standartų dar nėra arba jie nenaudojami.
II-oji klasė (aukštesnio lygio svarbumas)
II klasės gaminiai atlieka funkcijas, kritines kitų gaminių ar tinklų kibernetiniam saugumui, arba galinčias sukelti reikšmingą žalą, jei būtų pažeisti. Čia patenka ugniasienės, hipervizoriai, nuo klastojimo apsaugoti mikroprocesoriai. II-ai klasei privalomas išorinės įstaigos atliekamas trečiosios šalies atitikties vertinimas, nepriklausomai nuo to, kokius standartus taiko gamintojas.
Virš II-os klasės yra trečiasis, kritinių gaminių lygis, pavyzdžiui, lustinės kortelės, saugieji elementai ir išmaniųjų skaitiklių šliuzai, kuriems visada reikalingas Europos kibernetinio saugumo sertifikatas arba, jo neturint, tas pats trečiosios šalies procesas kaip ir II-ai klasei. Jei jūsų gaminys susijęs su saugiu kriptografiniu apdorojimu ar kritine matavimo infrastruktūra, laikykite, kad nuo pat pirmos dienos taikomas griežčiausias vertinimo kelias.
Programinės įrangos sudėties (SBOM) sąrašo tikslinė architektūra
Programinės įrangos sudėties sąrašo, arba SBOM, saugumo komandos nėra tik funkcija, kurią „gerai turėti“. Pagal CRA, tai – teisinis dokumentas. Reglamentas įpareigoja gamintojus palaikyti programinės įrangos sudėties sąrašą plačiai naudojamu, mašininio skaitymo formatu – SPDX ir CycloneDX – apimantį bent aukščiausio lygio gaminio priklausomybes.
Tikslas – programinės įrangos tiekimo grandinės skaidrumas: kai atviro kodo ar komercinių komponentų ekosistemoje atskleidžiamas naujas pažeidžiamumas, gamintojas su tiksliu SBOM sąrašu gali atlikti nuolatinę pažeidžiamumų sutapimų paiešką ir per kelias minutes žinoti, ar tai jį paveikia. Būtent šis greitis leidžia pasiekti toliau aprašomą 24 valandų pranešimo terminą.
Programinės įrangos sudėties sąrašas turi būti nuolat atnaujinamas per kiekvieną leidimą ir komponentų pasikeitimą bei saugomas kartu su kita technine dokumentacija bent 10 metų nuo gaminio pateikimo rinkai arba visą palaikymo laikotarpį, jei jis ilgesnis. Gamintojai, kuriantys šią sistemą jau dabar, įgyja realų operacinį pranašumą. Automatizuotas SBOM sąrašo generavimas, integruotas su esamais CI/CD procesais, atitikties naštą paverčia įprastu kūrimo žingsniu.
Kuo skiriasi CRA, NIS2 ir ISO 27001?
Tarp šių trijų dokumentų susipainioti lengva – visi jie priklauso ES kibernetinio saugumo sričiai, tačiau kiekvienas jų sprendžia skirtingą problemą ir atsako į skirtingą klausimą.
Pagrindiniai skirtumai yra pateikti lentelėje:
Visi dokumentai tarpusavyje vienas kitą papildo. NIS2 reguliuoja, kaip ligoninė, bankas ar energetikos operatorius, valdo savo pačių tinklus ir praneša apie incidentus organizaciniu lygmeniu. CRA reguliuoja medicinos priemones, mokėjimo terminalus ar išmaniuosius skaitiklius, kurį bendrovė perka ir prijungia. ISO 27001 sertifikatas gali būti naudingas papildomas įrodymas, patvirtinantis brandų saugumo valdymo procesą, tačiau jis nepakeičia CRA atitikties vertinimo ar CE ženklo. Bendrovė gali turėti ISO 27001 sertifikatą ir vis tiek neatitikti CRA, jei jos gaminiams trūksta SBOM sąrašo ar pažeidžiamumų valdymo procesų įgyvendinimo.
ES Kibernetinio atsparumo akto terminai ir įgyvendinimo datos
Sudarytas atitikties reikalavimų grafikas įsigyvendina etapais, suteikiant gamintojams pasiruošimo laikotarpį. Bet kuriuo atveju, šis laikas yra trumpesnis, nei gali pasirodyti iš pradžių.
2026 m. rugsėjo mėnesio CRA pranešimo terminas
Pirmas ir vienas svarbiausių terminų – 2026 m. rugsėjo mėnesis. Nuo šios datos gamintojai privalo laikytis griežto pažeidžiamumų pranešimo grafiko bet kokiam pažeidžiamumui:
- Per 24 valandas nuo sužinojimo apie jį – ankstyvasis įspėjamasis pranešimas.
- Per 72 valandas – detalus tolesnis pranešimas.
- Per 14 dienų nuo dienos, kai pavyksta pradėti taisymą – galutinė ataskaita, įskaitant pagrindinės priežasties analizę ir taisomąsias priemones.
Pranešimai teikiami per ENISA valdomą Bendrą pranešimų teikimo platformą tiek gamintojo šalies kompiuterinių incidentų valdymo grupei (CSIRT), tiek ENISA vienu metu.
Ši pareiga pranešti apie pažeidžiamumus netaikoma vien naujiems gaminiams. Pagal CRA pereinamojo laikotarpio nuostatas, gaminiams, jau esantiems ES rinkoje iki visiško taikymo pradžios 2027 m. gruodį, atgaline data nereikės CE ženklo ar viso atitikties vertinimo, nebent jie bus iš esmės modifikuoti. Tačiau pažeidžiamumų pranešimo pareiga taikoma kiekvienam į taikymo sritį patenkančiam rinkoje esančiam gaminiui nuo 2026 m. rugsėjo, įskaitant gaminius, kuriuos jūsų bendrovė turėjo rinkoje iki šiol. 2019 m. įrenginys su 2026 m. atrastu aktyviai naudojamu trūkumu vis tiek įjungia 24 valandų laikrodį terminui pateikti.
CRA atitiktis Lietuvoje
Lietuvoje kibernetinio saugumo priežiūros funkcijas vykdo prie Krašto apsaugos ministerijos veikiantis Nacionalinis kibernetinio saugumo centras (NKSC). Pagal Kibernetinio saugumo įstatymą ir susijusius teisės aktus NKSC jau dabar yra pagrindinė institucija, atsakinga už kibernetinių incidentų valdymą ir reagavimą į juos nacionaliniu lygmeniu.
Remiantis naujausia nacionaline kibernetinio saugumo būklės apžvalga, Krašto apsaugos ministerija, kuriai pavesta koordinuoti Kibernetinio atsparumo akto (CRA) įgyvendinimą Lietuvoje, yra pradėjusi rengti šio reglamento įgyvendinimo veiksmų planą. Tuo pat metu vis dar sprendžiama, kurios institucijos ateityje vykdys CRA notifikuojančios ir rinkos priežiūros funkcijas.
Nors NKSC išlieka pagrindiniu kontaktiniu tašku kibernetinio saugumo klausimais, CRA įgyvendinimo sistema Lietuvoje yra toliau formuojama. Pagal parengtą nutarimo projektą notifikuojančiosios institucijos funkcijas turėtų atlikti Krašto apsaugos ministerija, todėl organizacijoms rekomenduojama sekti oficialią informaciją dėl notifikuotųjų įstaigų ir kitų CRA įgyvendinimo sprendimų.
CRA atitiktis Latvijoje
Latvijos nacionalinė kibernetinio saugumo institucija (Kiberincidentu novēršanas institūcija) – CERT.LV, veikianti prie Gynybos ministerijos ir jau atliekanti šalies NIS2 kompetentingos institucijos bei incidentų valdymo centro vaidmenį. Kaip ir kitose Baltijos valstybėse, tikimasi, kad oficialus konkrečių institucijų, atsakingų už CRA rinkos priežiūrą ir notifikuojančios įstaigos priežiūrą Latvijoje, paskyrimas bus grindžiamas esama struktūra, artėjant 2026 m. terminams.
CRA atitiktis Estijoje
Estijos Informacinių sistemų tarnyba (Riigi Infosüsteemi Amet) – RIA, per savo Kibernetinio saugumo centrą, yra šalies įsteigta kibernetinio saugumo institucija ir natūralus atramos taškas CRA koordinavimui – tai atspindi vaidmenį, kurį RIA jau atlieka pagal Estijos Kibernetinio saugumo įstatymą ir NIS2 direktyvą.
Kaip pasiekti CRA atitiktį
Atitiktis nėra vienkartinis sertifikato gavimas. Tai nuosekli sprendimų seka, kurioje kiekvienas sprendimas apibrėžia ir susiaurina tolesnius reikalavimus. Dauguma gamintojų pereina tris pagrindinius etapus.
Kaip klasifikuoti gaminio riziką pagal CRA?
Pradėkite nuo gaminio turto atvaizdavimo: pilnos visų gaminių su skaitmeniniais elementais, kuriuos jūsų bendrovė pateikia ES rinkai (įskaitant baltojo ženklo (angl. white-label) ir OEM gaminius), gaminamus su jūsų prekės ženklu, inventorizacijos. Kiekvienas gaminys tuomet tikrinamas pagal CRA rizikos kategorijas: numatytąją, I-ąją klasę, II-ąją klasę ar kritinę, remiantis jo pagrindine, o ne kiekviena egzistuojančia funkcija. Vien šis žingsnis dažnai nustebina vadovų komandas, kurios atranda, kad „paprastas“ įrenginys iš tiesų atlieka II-osios klasės funkciją dėl vieno iš integruotų komponentų.
Kaip pasirinkti CRA atitikties vertinimo kelią?
Nustačius produkto rizikos klasę, galimų atitikties vertinimo būdų pasirinkimas tampa gerokai siauresnis. Įprastai kategorijai priskiriami produktai gali būti vertinami pačių gamintojų, kurie savarankiškai parengia ir pateikia ES atitikties deklaraciją. Kritiniams produktams gali reikėti tiek notifikuojančios įstaigos vertinimo, tiek darniųjų Europos standartų taikymo, kai šie tampa prieinami. Būtent todėl atitikties vertinimo kelią svarbu pasirinkti kuo anksčiau. Kuo labiau artės 2027 m. gruodžio terminas, tuo didesnė tikimybė, kad notifikuojančios įstaigos bus apkrautos. Dėl šios priežasties vertinimo atidėjimas iki paskutinio momento gali reikšti papildomą šešių mėnesių laukimą.
Kaip integruoti CRA atitiktį į inžinierių darbo eigą?
Organizacijos, kurios sėkmingai rengiasi Kibernetinio atsparumo akto reikalavimams, nelaiko jų vien dokumentacijos tvarkymo užduotimi, o integruoja šį aktą į visą produktų kūrimo procesą. Tai apima:
- atitikties stebėseną CI/CD procesuose,
- automatinį SBOM generavimą kiekvienos versijos kūrimo metu, o ne tik prieš produkto išleidimą,
- saugumo pagal projektavimo principus (angl. secure by design) integravimą į programinės įrangos kūrimo gyvavimo ciklą (SDLC)
- nuolatinį pažeidžiamumų stebėjimą, susietą su SBOM.
Tokiu būdu naujai paskelbti pažeidžiamumai, susiję su naudojamomis priklausomybėmis, identifikuojami automatiškai. Organizacijos, kurios tokius procesus ir įrankius įsidiegs iki 2026 m. vidurio, galės sklandžiai įvykdyti rugsėjį įsigaliosiančius pranešimo reikalavimus. Tuo tarpu delsiančioms komandoms procesus teks kurti jau susidūrus su realiu 24 valandų reagavimo terminu.
Ką tai reiškia jūsų verslui iki 2027 metų?
CRA kibernetinį saugumą paverčia nebe vien gerąja inžinerine praktika, o būtina sąlyga norint pateikti produktą rinkai. Vienas dažniausiai nuvertinamų etapų yra 2026 m. rugsėjį įsigaliosiantys incidentų pranešimo reikalavimai. Jie taikomi ne tik naujai kuriamiems produktams, bet ir jau rinkoje esantiems sprendimams. Todėl organizacijoms būtina užtikrinti visą procesą nuo pažeidžiamumo ar incidento nustatymo iki oficialaus jo pranešimo, nors daugelis įmonių tokio vientiso ir pilnai veikiančio mechanizmo dar neturi.
2027 m. gruodis žymi vieną svarbiausių pokyčių gamintojams: produktams, kuriems taikomas CRA, CE ženklinimas nebebus galimas neužtikrinus atitikties šio reglamento reikalavimams. Be to, konkretūs atitikties vertinimo reikalavimai priklausys nuo produkto priskyrimo atitinkamai rizikos kategorijai. Todėl teisingas klasifikavimas jau dabar yra vienas svarbiausių sprendimų, leidžiančių pakankamai anksti planuoti reikalingus pakeitimus ir išvengti skubotų veiksmų artėjant terminams.
Nesvarbu, ar jūsų organizacija kuria produktus, juos importuoja, ar platina Baltijos šalių rinkoje, pirmieji žingsniai išlieka tie patys:
- įvertinti produktų portfelį pagal CRA taikymo sritį ir rizikos lygius,
- aiškiai apibrėžti atsakomybes tiekimo grandinėje,
- iš anksto pasirengti pažeidžiamumų valdymo ir pranešimo procesams dar iki 2026 m. rugsėjo mėn.
Siekiant sklandžiai ir efektyviai įgyvendinti šiuos reikalavimus, įmonės gali pasitelkti „Baltic Amadeus“ CRA atitikties paslaugas, kurios padeda įvertinti esamą situaciją ir sudaryti aiškų, prioritetais pagrįstą veiksmų planą visiškos atitikties link.
