Актът за киберустойчивост, под контрол.
Ако пускате на пазара на ЕС продукт с цифрови елементи, CRA се прилага за вас. Reglyze оценява съответствието ви на ясен език и генерира техническата документация по приложение VII и ЕС декларацията за съответствие: повечето продукти се оценяват от самия производител по модул А.
Вижте го в действие: от продукта до подписаната декларация
Двуминутна демонстрация: определете обхвата на продукт, направете самооценката на ясен език и генерирайте техническата документация по приложение VII и ЕС декларацията за съответствие.
От „прилага ли се?“ до подписана декларация
1 · Обхват и класификация
Четири въпроса ви казват дали CRA се прилага, какъв е класът ви по приложение III/IV и коя е процедурата ви за оценяване на съответствието. Безплатно, без профил.
2 · Самооценка
Отговорете на ~20 ясни въпроса за продукта си. Асистентът предлага ниво на зрялост от 0 до 3 за всяко съществено изискване (приложение I), с опора на IEC 62443.
3 · Генериране на досието
Техническа документация по приложение VII и ЕС декларация за съответствие: съставени от отговорите ви, с отчитане на SBOM, на вашия език.
Какво получавате
- Техническа документация по приложение VII
- ЕС декларация за съответствие (налична едва когато всяко изискване е изпълнено)
- Доклад за пропуските по приложение I с откритите въпроси за затваряне
- Импорт на SBOM (CycloneDX / SPDX), посочен в техническата документация
Основа: IEC 62443-4-1 (сигурна разработка) и 62443-4-2 (изисквания към компонентите). Текстът на CRA е публично право на ЕС; позоваванията на IEC са преразказани и никога не се възпроизвеждат дословно.
Цени
CRA се таксува отделно от платформата за NIS2.
Акт за киберустойчивост: често задавани въпроси
Прилага ли се Актът на ЕС за киберустойчивост (CRA) за моя продукт?
CRA се прилага за всеки продукт с цифрови елементи (хардуер със софтуер или фърмуер, както и самостоятелен софтуер), предоставен на пазара на ЕС. Ако пускате на пазара на ЕС свързано устройство, продукт за интернет на нещата или софтуер за инсталиране, попадате в обхвата. Безплатната проверка на обхвата в Reglyze го потвърждава с четири въпроса.
Кога влиза в сила Актът за киберустойчивост?
Важни са две дати: задълженията за докладване на уязвимости и инциденти се прилагат от 11 септември 2026 г., а пълното съответствие, включително маркировката „CE“, се изисква от 11 декември 2027 г. CRA е Регламент (ЕС) 2024/2847.
Какво е самооценката по модул А съгласно CRA?
Модул А е процедурата за оценяване на съответствието, при която производителят сам оценява продукта спрямо съществените изисквания и сам издава ЕС декларацията за съответствие, без участие на нотифициран орган. Около 90% от продуктите (класът „по подразбиране“) могат да използват модул А.
Нужен ли ми е нотифициран орган по CRA?
Само за „важните“ продукти от клас II и за „критичните“ продукти (приложение III, клас II, и приложение IV към CRA). Продуктите по подразбиране и повечето „важни“ продукти от клас I могат да бъдат оценени от самия производител по модул А, особено когато се прилагат хармонизирани стандарти.
Какво представлява техническата документация по приложение VII?
Приложение VII изброява техническата документация, която производителят трябва да състави и да държи на разположение на органите за надзор на пазара: описание на продукта, оценка на риска, доказателства спрямо съществените изисквания и описа на софтуерните компоненти (SBOM). Reglyze я съставя от вашата самооценка.
Какво е ЕС декларация за съответствие по CRA?
Това е подписаното заявление, че продуктът ви отговаря на съществените изисквания за киберсигурност на CRA. Тя е задължителна преди нанасянето на маркировката „CE“ и пускането на продукта на пазара. Reglyze я издава, след като всяко съществено изискване е изпълнено.
Кои продукти са „важни“ или „критични“ по CRA?
Приложение III към CRA изброява „важните“ продукти (клас I и II), като мениджъри на пароли, VPN, защитни стени и операционни системи; приложение IV изброява „критичните“ продукти, като шлюзове за интелигентни измервателни уреди и защитени елементи. Всичко, което не е изброено, е „по подразбиране“ и се оценява от самия производител по модул А.
Какви са санкциите при несъответствие с CRA?
Нарушенията на съществените изисквания за киберсигурност и на основните задължения на производителя могат да се наказват с глоба до 15 милиона евро или 2,5% от общия световен годишен оборот, като се взема по-високата сума, наред с възможни разпореждания за изтегляне от пазара. За други нарушения се прилагат по-ниски прагове.
С какво CRA се различава от NIS2?
NIS2 урежда киберсигурността на организациите (съществени и важни субекти); CRA урежда киберсигурността на продуктите с цифрови елементи, пускани на пазара на ЕС. Един производител може да е обхванат и от двата акта: от NIS2 за начина, по който работи, и от CRA за това, което доставя.
Обхваща ли CRA софтуера и отворения код?
Да. Самостоятелният софтуер е продукт с цифрови елементи. Софтуерът с отворен код, предоставян в рамките на търговска дейност, попада в обхвата, а за нетърговските попечители на софтуер с отворен код задълженията са по-леки. Самостоятелният хостван SaaS по правило е извън CRA, освен ако не е решение за обработване на данни от разстояние, което е неразделна част от продукт.