Aiškūs atsakymai apie CRA

Vertinami ES rinkai tiekiami produktai su skaitmeniniais elementais, kurių numatytoji paskirtis arba pagrįstai numatomas naudojimas apima tiesioginę ar netiesioginę loginę arba fizinę duomenų jungtį su įrenginiu ar tinklu. Atskirai tikrinamos reglamento išimtys.

Taip, taikymo sritis gali apimti programinę įrangą ir atskirai rinkai pateikiamus programinius komponentus. Tam tikri nuotolinio duomenų apdorojimo sprendimai taip pat gali būti produkto dalis.

Taikymas priklauso nuo konkretaus produkto ir nuotolinio duomenų apdorojimo vaidmens. Vien paslaugos teikimas internetu neleidžia nustatyti rezultato. Įvertinkite gamintojo atsakomybę ir tai, ar be nuotolinės funkcijos produktas negalėtų atlikti vienos iš savo funkcijų.

Svarbu komercinės veiklos pobūdis, produkto pateikimas rinkai ir atsakingo asmens vaidmuo. Nekomerciškai teikiamai atvirajai programinei įrangai numatyta išimtis, o atvirosios programinės įrangos valdytojams nustatytas atskiras režimas. Nemokamas platinimas savaime neatsako į visus taikymo klausimus.

Nuo 2026 m. rugsėjo 11 d. gamintojams taikomos 14 straipsnio pranešimo pareigos. Pagrindiniai produkto reikalavimai pradedami taikyti 2027 m. gruodžio 11 d. Atvirosios programinės įrangos valdytojų 24 straipsnio pareigos pradedamos taikyti 2027 m. gruodžio 11 d.

Vien ankstesnė pateikimo rinkai data neatleidžia nuo 14 straipsnio pranešimo pareigų. CRA 69 straipsnio 3 dalis šias pareigas taiko ir produktams, pateiktiems rinkai iki 2027 m. gruodžio 11 d.

Privalomo pranešimo scenarijus susijęs su aktyviai išnaudojamu pažeidžiamumu arba dideliu incidentu, turinčiu poveikį produkto saugumui. Vien skenerio radinys savaime nenustato, ar šios sąlygos tenkinamos. Dokumentuokite įvykio vertinimą.

Aktyviai išnaudojamo pažeidžiamumo galutinis pranešimas pateikiamas per 14 dienų nuo taisomosios ar rizikos mažinimo priemonės prieinamumo. Didelio incidento galutinis pranešimas pateikiamas per vieną mėnesį nuo 72 valandų etapo incidento pranešimo. Taikomos reglamente nustatytos sąlygos.

Pranešimai teikiami per bendrą ENISA pranešimų platformą. Informacija adresuojama pagrindinės buveinės valstybės narės koordinuojančiajam CSIRT ir ENISA pagal reglamento tvarką. Naudokite aktualias platformos instrukcijas ir iš anksto pasirūpinkite įgaliotais atstovais. Lietuvoje pagrindinę buveinę turinčių gamintojų pranešimus koordinuoja NKSC.

Procedūra priklauso nuo produkto kategorijos ir taikomų sąlygų. Daliai produktų galima vidaus kontrolė pagal A modulį. Svarbiems ir ypatingos svarbos produktams numatyti papildomi reikalavimai bei konkrečios išimtys.

Tai galima tik tenkinant CRA 32 straipsnio sąlygas, susijusias su atitinkamų darniųjų standartų, bendrųjų specifikacijų ar tinkamos sertifikavimo schemos taikymu. Jei sąlygos netenkinamos, reikia tinkamos trečiosios šalies procedūros. Atvirajai programinei įrangai tikrinkite atskirą 32 straipsnio išimtį.

Vertinkite konkrečią produkto kategoriją, taikomą deleguotąjį aktą, prieinamą sertifikavimo schemą ir reikalaujamą užtikrinimo lygį. IV priedas savaime nenustato vienodos EUCC prievolės visais atvejais.

Techninės dokumentacijos turinys nustatytas VII priede. II priede aprašyta naudotojui skirta informacija ir instrukcijos. Abiejų rūšių dokumentus susiekite su konkrečia produkto versija.

CRA nustato komponentų identifikavimo ir dokumentavimo pareigas, įskaitant SBOM. Iš šios pareigos savaime nekyla reikalavimas visą SBOM paskelbti viešai. Prieigą ir pateikimą vertinkite pagal konkrečias teisines bei sutartines pareigas.

Informacijos saugumo valdymo sistema gali padėti organizuoti procesus. Produkto CRA atitiktis vertinama pagal jam taikomus reikalavimus, riziką, dokumentaciją ir tinkamą vertinimo procedūrą. Vien valdymo sistemos sertifikato tam nepakanka.

Palaikymo laikotarpis atspindi tikėtiną produkto naudojimą ir turi būti bent penkeri metai. Kai tikėtinas naudojimas trumpesnis, palaikymo laikotarpis turi atitikti tą naudojimo laiką. Atskirai vertinamas jau išleisto saugumo naujinio prieinamumas. Jis turi išlikti ne trumpiau kaip dešimt metų nuo išleidimo arba likusį palaikymo laikotarpį, priklausomai nuo to, kuris ilgesnis.

CRA reglamentuoja produktų saugumą, o Lietuvos Kibernetinio saugumo įstatymas ir KSRA nustato organizacijoms taikomas pareigas. Vertinkite abu režimus atskirai ir derinkite bendrus procesus ten, kur jų įrodymai sutampa.

Remkitės įtraukimo į KSS registrą data, organizacijos statusu ir konkrečiomis taikomomis taisyklėmis. Bendras organizacinių ir atitinkamų techninių reikalavimų laikotarpis yra 12 ir 24 mėnesiai, tačiau specialiesiems subjektams bei patikimumo užtikrinimo paslaugų teikėjams aktualias Reglamento (ES) 2024/2690 priemones reikia vertinti atskirai.

DORA taikomas nuo 2025 m. sausio 17 d. reglamente apibrėžtiems finansų sektoriaus subjektams. Jis apima IRT rizikos valdymą, incidentų pranešimus, atsparumo testavimą ir trečiųjų šalių riziką. CRA taikymą konkrečiam produktui vertinkite atskirai.