Akt o kibernetski odpornosti? Urejeno.
Če dajete na trg EU izdelek z digitalnimi elementi, za vas velja CRA. Reglyze v razumljivem jeziku izvede samooceno skladnosti ter pripravi tehnično dokumentacijo iz Priloge VII in izjavo EU o skladnosti: za večino izdelkov zadostuje samoocena po modulu A.
Oglejte si, kako deluje: od izdelka do podpisane izjave
Dvominutni prikaz: opredelite izdelek, izvedite samooceno v razumljivem jeziku ter pripravite tehnično dokumentacijo iz Priloge VII in izjavo EU o skladnosti.
Od „Ali velja za nas?“ do podpisane izjave
1 · Področje uporabe in razvrstitev
Štiri vprašanja vam povedo, ali velja CRA, v kateri razred iz Priloge III/IV spada vaš izdelek in po kateri poti dokažete skladnost. Brezplačno, brez računa.
2 · Samoocena
Odgovorite na približno 20 preprostih vprašanj o svojem izdelku. Pomočnik za vsako bistveno zahtevo (Priloga I) predlaga raven zrelosti od 0 do 3, zasnovano na IEC 62443.
3 · Priprava dosjeja
Tehnična dokumentacija iz Priloge VII in izjava EU o skladnosti, sestavljeni iz vaših odgovorov, z upoštevanjem kosovnice SBOM, v vašem jeziku.
Kaj dobite
- Tehnična dokumentacija iz Priloge VII
- Izjava EU o skladnosti (na voljo šele, ko so izpolnjene vse zahteve)
- Poročilo o vrzelih glede na Prilogo I z odprtimi točkami, ki jih je treba zapreti
- Uvoz kosovnice SBOM (CycloneDX / SPDX), navedene v tehnični dokumentaciji
Podlaga: IEC 62443-4-1 (varen razvoj) in 62443-4-2 (zahteve za komponente). Besedilo CRA je javno pravo EU; sklici na IEC so povzeti, nikoli dobesedno ponatisnjeni.
Cenik
CRA se zaračunava ločeno od platforme NIS2.
Akt o kibernetski odpornosti: pogosta vprašanja
Ali akt EU o kibernetski odpornosti (CRA) velja za moj izdelek?
CRA velja za vsak izdelek z digitalnimi elementi (strojno opremo s programsko ali vgrajeno programsko opremo ter samostojno programsko opremo), ki je dostopen na trgu EU. Če na trg EU dajete povezano napravo, izdelek interneta stvari ali programsko opremo za namestitev, ste zajeti. Brezplačno preverjanje področja uporabe v platformi Reglyze to potrdi s štirimi vprašanji.
Kdaj začne veljati akt o kibernetski odpornosti?
Pomembna sta dva datuma: obveznosti poročanja o ranljivostih in incidentih se uporabljajo od 11. septembra 2026, celovita skladnost z oznako CE pa se zahteva od 11. decembra 2027. CRA je Uredba (EU) 2024/2847.
Kaj je samoocena po modulu A v okviru CRA?
Modul A je pot ugotavljanja skladnosti, pri kateri proizvajalec sam oceni izdelek glede na bistvene zahteve in izda lastno izjavo EU o skladnosti, brez sodelovanja priglašenega organa. Približno 90 % izdelkov (privzeti razred) izpolnjuje pogoje za modul A.
Ali za CRA potrebujem priglašeni organ?
Le za „pomembne“ izdelke razreda II in „kritične“ izdelke (razred II iz Priloge III in Priloga IV k CRA). Privzeti izdelki in večina „pomembnih“ izdelkov razreda I lahko skladnost potrdijo s samooceno po modulu A, zlasti če uporabljajo harmonizirane standarde.
Kaj je tehnična dokumentacija iz Priloge VII?
Priloga VII navaja tehnično dokumentacijo, ki jo mora proizvajalec pripraviti in hraniti na voljo organom za nadzor trga: opis izdelka, oceno tveganj, dokazila glede bistvenih zahtev in kosovnico programske opreme (SBOM). Reglyze jo sestavi iz vaše samoocene.
Kaj je izjava EU o skladnosti po CRA?
To je podpisana izjava, da vaš izdelek izpolnjuje bistvene zahteve CRA glede kibernetske varnosti. Obvezna je pred namestitvijo oznake CE in dajanjem izdelka na trg. Reglyze jo izda, ko so izpolnjene vse bistvene zahteve.
Kateri izdelki so po CRA „pomembni“ ali „kritični“?
Priloga III k CRA navaja „pomembne“ izdelke (razreda I in II), kot so upravitelji gesel, VPN, požarni zidovi in operacijski sistemi; Priloga IV navaja „kritične“ izdelke, kot so prehodi pametnih števcev in varni elementi. Vse, kar ni navedeno, spada v privzeti razred in skladnost potrdi s samooceno po modulu A.
Kakšne so kazni za neskladnost s CRA?
Za kršitve bistvenih zahtev glede kibernetske varnosti in temeljnih obveznosti proizvajalca je mogoče izreči globo do 15 milijonov EUR ali 2,5 % skupnega letnega prometa na svetovni ravni, kar je višje, poleg morebitnih odredb o umiku s trga. Za druge kršitve veljajo nižje stopnje.
Kako se CRA razlikuje od NIS2?
NIS2 ureja kibernetsko varnost organizacij (bistvenih in pomembnih subjektov), CRA pa kibernetsko varnost izdelkov z digitalnimi elementi, danih na trg EU. Za proizvajalca lahko veljata oba: NIS2 za to, kako posluje, CRA pa za to, kar dobavlja.
Ali CRA zajema programsko opremo in odprto kodo?
Da. Samostojna programska oprema je izdelek z digitalnimi elementi. Odprtokodna programska oprema, dobavljena v okviru komercialne dejavnosti, je zajeta, za nekomercialne skrbnike odprtokodne programske opreme pa veljajo lažje obveznosti. Samostojna gostovana storitev SaaS praviloma ni zajeta v CRA, razen če je rešitev za obdelavo podatkov na daljavo, ki je sestavni del izdelka.