Küberkerksuse määrus, lahendatud.
Kui lasete ELi turule digielemente sisaldava toote, kehtib CRA ka teie kohta. Reglyze hindab selges keeles teie vastavust ning genereerib VII lisa kohase tehnilise dokumentatsiooni ja ELi vastavusdeklaratsiooni: enamiku toodete vastavust saab tootja ise hinnata mooduli A alusel.
Vaadake, kuidas see töötab: tootest allkirjastatud deklaratsioonini
Kaheminutiline ülevaade: määrake toote kohaldamisala, tehke selges keeles enesehindamine ning genereerige VII lisa kohane tehniline dokumentatsioon ja ELi vastavusdeklaratsioon.
Küsimusest „kas see kehtib?“ allkirjastatud deklaratsioonini
1 · Kohaldamisala ja liigitus
Neli küsimust näitavad, kas CRA kehtib, millisesse III/IV lisa klassi toode kuulub ja milline on teie vastavushindamise menetlus. Tasuta, kontot pole vaja.
2 · Enesehindamine
Vastake umbes 20 lihtsale küsimusele oma toote kohta. Assistent pakub iga olulise nõude (I lisa) kohta küpsustaseme 0–3, tuginedes standardile IEC 62443.
3 · Toimiku genereerimine
VII lisa kohane tehniline dokumentatsioon ja teie ELi vastavusdeklaratsioon, koostatud teie vastuste põhjal, arvestades tarkvara koostenimekirja (SBOM), teie keeles.
Mida te saate
- VII lisa kohane tehniline dokumentatsioon
- ELi vastavusdeklaratsioon (saadaval alles siis, kui kõik nõuded on täidetud)
- I lisa lünkaruanne koos lahendamist vajavate lahtiste punktidega
- SBOM-i import (CycloneDX / SPDX), mis loetletakse tehnilises dokumentatsioonis
Alus: IEC 62443-4-1 (turvaline arendus) ja 62443-4-2 (komponentide nõuded). CRA tekst on avalik ELi õigus; IEC viiteid on refereeritud, mitte kunagi sõna-sõnalt reprodutseeritud.
Hinnad
CRA hind on NIS2 platvormist eraldi.
Küberkerksuse määrus: korduma kippuvad küsimused
Kas ELi küberkerksuse määrus (CRA) kehtib minu toote kohta?
CRA-d kohaldatakse kõigi ELi turul kättesaadavaks tehtud digielemente sisaldavate toodete suhtes: tarkvara või püsivaraga riistvara ja eraldiseisev tarkvara. Kui lasete ELi turule ühendatud seadme, asjade interneti toote või paigaldatava tarkvara, kuulute kohaldamisalasse. Reglyze'i tasuta kohaldamisala kontroll kinnitab selle nelja küsimusega.
Millest alates küberkerksuse määrust kohaldatakse?
Olulised on kaks kuupäeva: nõrkustest ja intsidentidest teatamise kohustusi kohaldatakse alates 11. septembrist 2026 ning täielik vastavus, sealhulgas CE-vastavusmärgis, on nõutav alates 11. detsembrist 2027. CRA on määrus (EL) 2024/2847.
Mis on mooduli A kohane enesehindamine CRA alusel?
Moodul A on vastavushindamise menetlus (sisekontrollimenetlus), mille puhul tootja hindab ise toote vastavust olulistele nõuetele ja annab ise välja ELi vastavusdeklaratsiooni, ilma teada antud asutuse osaluseta. Ligikaudu 90 % toodetest kuulub nn vaikekategooriasse ja nende puhul saab kasutada moodulit A.
Kas CRA puhul on vaja teada antud asutust?
Ainult „oluliste“ II klassi ja „kriitilise tähtsusega“ toodete puhul (CRA III lisa II klass ja IV lisa). Vaikekategooria tooted ja enamik „olulisi“ I klassi tooteid saavad oma vastavust ise hinnata mooduli A alusel, eriti kui kohaldatakse harmoneeritud standardeid.
Mis on VII lisa kohane tehniline dokumentatsioon?
VII lisas loetletakse tehniline dokumentatsioon, mille tootja peab koostama ja turujärelevalveasutustele kättesaadavana hoidma: toote kirjeldus, riskihindamine, tõendid oluliste nõuete täitmise kohta ja tarkvara koostenimekiri (SBOM). Reglyze koostab selle teie enesehindamise põhjal.
Mis on ELi vastavusdeklaratsioon CRA alusel?
See on allkirjastatud kinnitus, et teie toode vastab CRA olulistele küberturvalisuse nõuetele. See on kohustuslik enne CE-vastavusmärgise kinnitamist ja toote turule laskmist. Reglyze väljastab selle siis, kui kõik olulised nõuded on täidetud.
Millised tooted on CRA kohaselt „olulised“ või „kriitilise tähtsusega“?
CRA III lisas loetletakse „olulised“ tooted (I ja II klass), nagu paroolihaldurid, VPN-id, tulemüürid ja operatsioonisüsteemid; IV lisas loetletakse „kriitilise tähtsusega“ tooted, nagu nutiarvestite lüüsid ja turvaelemendid. Kõik, mida ei ole loetletud, kuulub vaikekategooriasse ja selle vastavust saab tootja ise hinnata mooduli A alusel.
Millised on karistused CRA nõuete rikkumise eest?
Oluliste küberturvalisuse nõuete ja tootja põhikohustuste rikkumise eest võib määrata trahvi kuni 15 mln eurot või 2,5 % ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem, ning lisaks võidakse anda korraldus toode turult kõrvaldada. Muude rikkumiste eest kehtivad madalamad määrad.
Mille poolest CRA erineb NIS2-st?
NIS2 reguleerib organisatsioonide (elutähtsate ja oluliste üksuste) küberturvalisust; CRA reguleerib ELi turule lastud digielemente sisaldavate toodete küberturvalisust. Tootja võib kuuluda mõlema kohaldamisalasse: NIS2 selle tõttu, kuidas ta tegutseb, CRA selle tõttu, mida ta tarnib.
Kas CRA hõlmab tarkvara ja avatud lähtekoodi?
Jah. Eraldiseisev tarkvara on digielemente sisaldav toode. Äritegevuse käigus tarnitav avatud lähtekoodiga tarkvara kuulub kohaldamisalasse, kusjuures mitteärilistele avatud lähtekoodiga tarkvara korraldajatele kehtivad kergemad kohustused. Eraldiseisev majutatud SaaS jääb üldjuhul CRA-st välja, välja arvatud juhul, kui see on tootega lahutamatult seotud andmete kaugtöötluslahendus.