Jūsų vaidmeniui aktualios datos
- 2024 m. gruodžio 10 d.Įsigaliojęs
CRA įsigaliojo
Teisės akto įsigaliojimas ir konkrečių pareigų taikymo pradžia yra skirtingi etapai.
- 2026 m. birželio 11 d.Jau taikoma
Taikomas IV skyrius
Pradėtos taikyti atitikties vertinimo įstaigų notifikavimo nuostatos. Ši data nereiškia, kad kiekviena laboratorija įgijo notifikuotosios įstaigos statusą.
- 2026 m. rugsėjo 11 d.Jau taikoma
Taikomos gamintojų pranešimo pareigos
Pranešimai apie aktyviai išnaudojamus pažeidžiamumus ir didelius produkto saugumą veikiančius incidentus pagal 14 straipsnį.
- 2027 m. gruodžio 11 d.Būsimas etapas
Pagrindinė CRA taikymo pradžia
Pagrindiniai produkto reikalavimai ir ekonominės veiklos vykdytojų pareigos. Nuo šios datos taikomos ir atvirosios programinės įrangos valdytojų pareigos pagal 24 straipsnį.
Orientaciniai Lietuvos KSRA terminai
Bendrojo pereinamojo laikotarpio orientyrą skaičiuokite nuo įtraukimo į kibernetinio saugumo subjektų registrą dienos. Organizacinėms priemonėms taikomas 12 mėnesių, atitinkamoms techninėms priemonėms 24 mėnesių laikotarpis.
Šis skaičiavimas neapima visų išimčių ir pareigų. Reglamentu ES 2024/2690 nustatytoms techninėms priemonėms bendras pereinamasis laikotarpis netaikomas. Jau taikomų pranešimų ir kitų pareigų šis skaičiavimas neatideda.
Reglamento taikymo etapai
CRA įsigaliojo 2024 m. gruodžio 10 d. Įsigaliojimas ir atskirų nuostatų taikymo pradžia yra skirtingi etapai.
2026 m. birželio 11 d.
Pradėtos taikyti IV skyriaus nuostatos dėl atitikties vertinimo įstaigų notifikavimo. Ši data savaime nesuteikia konkrečiai laboratorijai notifikuotosios įstaigos statuso.
2026 m. rugsėjo 11 d.
Gamintojams pradėtos taikyti 14 straipsnio pranešimo pareigos dėl aktyviai išnaudojamų pažeidžiamumų ir didelių incidentų, turinčių poveikį produkto saugumui.
2027 m. gruodžio 11 d.
Pradedami taikyti pagrindiniai CRA reikalavimai. Iki produkto pateikimo rinkai turi būti įvertintas jam taikomas atitikties kelias ir parengti reikalingi įrodymai.
Pranešimai apie aktyviai išnaudojamą pažeidžiamumą
Gamintojas, sužinojęs apie aktyviai išnaudojamą jo produkto pažeidžiamumą, veikia nedelsdamas. Pranešimai teikiami per bendrą ENISA platformą, laikantis 14 straipsnio sąlygų.
Per 24 valandas nuo sužinojimo
Pateikite ankstyvąjį perspėjimą su turima pradine informacija.
Per 72 valandas nuo sužinojimo
Pateikite pranešimą apie pažeidžiamumą ir tuo metu turimą vertinimą bei informaciją apie rizikos mažinimo priemones.
Per 14 dienų nuo priemonės prieinamumo
Pateikite galutinį pranešimą, kai prieinama taisomoji ar rizikos mažinimo priemonė. Šis laikotarpis skaičiuojamas nuo priemonės prieinamumo, o ne nuo pirmojo perspėjimo.
Pranešimai apie didelį produkto saugumo incidentą
Didelio incidento ir aktyviai išnaudojamo pažeidžiamumo galutinių pranešimų terminai skiriasi. Įvykio klasifikavimą ir laiko žymas užfiksuokite savo reagavimo žurnale.
Per 24 valandas nuo sužinojimo
Pateikite ankstyvąjį perspėjimą apie didelį incidentą, turintį poveikį produkto saugumui.
Per 72 valandas nuo sužinojimo
Pateikite incidento pranešimą su pradiniu vertinimu ir aktualia informacija apie poveikį bei reagavimo priemones.
Per vieną mėnesį nuo incidento pranešimo
Pateikite galutinį pranešimą, skaičiuodami terminą nuo 72 valandų etapo pranešimo pateikimo. Įvertinkite 14 straipsnyje nustatytas tęstinio incidento sąlygas.
Lietuvos organizacijų terminai skaičiuojami individualiai
Pagal NKSC paaiškinimą KSRA organizaciniams reikalavimams taikomas bendras 12 mėnesių, o atitinkamiems techniniams reikalavimams 24 mėnesių laikotarpis nuo konkretaus subjekto įtraukimo į KSS registrą. Viena visoms organizacijoms skirta data būtų netiksli.
Bendras pereinamasis laikotarpis turi išimčių. Specialiesiems subjektams ir patikimumo užtikrinimo paslaugų teikėjams aktualias technines rizikos valdymo priemones pagal Reglamentą (ES) 2024/2690 reikia vertinti atskirai. Šiame reglamente toks pereinamasis laikotarpis nenustatytas.
Užfiksuokite įtraukimo datą
Remkitės organizacijai pateikta informacija ir taikomu statusu registre.
Patikrinkite specialiąsias taisykles
Nustatykite organizacijos kategoriją ir jai taikomus ES bei Lietuvos reikalavimus prieš skaičiuodami terminus.
Atskirkite CRA ir KSRA planus
Suderinkite atsakomybes ir įrodymus, kartu išlaikydami atskirus teisinių pareigų ir incidentų pranešimų vertinimus.
Rekomenduojama darbų seka
Pasirengimo trukmė priklauso nuo produktų, esamos kūrimo praktikos ir pasirinktos vertinimo procedūros. Planą sudarykite pagal atliktinus darbus ir priklausomybes.
Dabar
Patikrinkite gamintojo pranešimų procesą, produkto taikymo sritį ir atsakingus asmenis.
Toliau
Atlikite rizikos vertinimą, sutvarkykite komponentų apskaitą ir suplanuokite saugumo priemones bei bandymus.
Prieš pateikimą rinkai
Užbaikite taikytiną vertinimo procedūrą, techninę dokumentaciją, deklaraciją, ženklinimą ir informaciją naudotojui.
Palaikymo laikotarpiu
Stebėkite pažeidžiamumus, pateikite saugumo naujinimus ir atnaujinkite įrodymus keičiantis produktui.