CRA w 5 minut: co musi wiedzieć producent

Cyber Resilience Act to unijne rozporządzenie o cyberodporności (2024/2847). Mówi, że produkty z oprogramowaniem sprzedawane w UE muszą być bezpieczne przez cały okres, w którym producent je wspiera, a producent musi szybko reagować na wykryte w nich luki.

To rozporządzenie, więc obowiązuje bezpośrednio, bez polskiej ustawy.

Tak, jeśli sprzedajesz w UE urządzenie z oprogramowaniem (np. termostat, kasę, sterownik, kamerę), program instalowany u klientów albo aplikację do swojego urządzenia. Liczą się też produkty, które już są w sprzedaży.

Nie ma zwolnienia dla małych firm. Poza CRA są m.in. wyroby medyczne, samochody, lotnictwo i usługi działające wyłącznie w chmurze (SaaS), bo mają własne przepisy.

Zgłaszać luki w swoich produktach, które przestępcy już wykorzystują, oraz poważne incydenty bezpieczeństwa. Terminy: wczesne ostrzeżenie w 24 godziny, powiadomienie ze szczegółami w 72 godziny, raport końcowy w 14 dni od udostępnienia poprawki (przy incydencie: w miesiąc).

Zgłoszenie wysyła się przez platformę ENISA (unijnej agencji cyberbezpieczeństwa); trafia ono też do krajowego CSIRT (w Polsce CSIRT NASK, znany jako CERT Polska). Trzeba też poinformować swoich klientów, co mają zrobić.

Żeby zdążyć w 24 godziny, musisz w ogóle wiedzieć, że luka jest w Twoim produkcie. Do tego potrzebna jest lista składników produktu i codzienne sprawdzanie baz luk. To robi Meldora.

Spełnić pełne wymagania: produkt zaprojektowany z myślą o bezpieczeństwie, obsługa luk przez cały okres wsparcia (zwykle co najmniej 5 lat), bezpłatne aktualizacje bezpieczeństwa, lista składników (SBOM) w dokumentacji technicznej, deklaracja zgodności i znak CE.

Bez tego od grudnia 2027 r. nie wprowadzisz produktu na rynek UE.

Kary do 15 mln euro albo 2,5% rocznego światowego obrotu (wyższa kwota), a do tego możliwy nakaz wycofania produktu z rynku.

Mikro i małe firmy nie płacą kary za samo spóźnienie 24-godzinnego ostrzeżenia, ale pozostałe obowiązki dotyczą ich w pełni. W praktyce częściej niż kara zaboli pytanie klienta albo przetargu: „pokażcie, jak obsługujecie podatności”.

Podatność (luka): błąd w oprogramowaniu, przez który można zaatakować produkt.

SBOM: lista składników produktu, czyli gotowych programów, z których się składa.

Aktywnie wykorzystywana: przestępcy już używają tej luki; tylko wtedy jest obowiązek zgłoszenia.

CVSS: ocena od 0 do 10, jak groźna jest luka (krytyczna, wysoka, średnia, niska).

ENISA: unijna agencja cyberbezpieczeństwa, prowadzi platformę zgłoszeń.

Okres wsparcia: czas, przez który obiecujesz klientom aktualizacje bezpieczeństwa.

1. Spisz produkty, które sprzedajesz w UE, i ustal, kto u Was zna ich oprogramowanie (programista, dostawca).

2. Ustal, kto w firmie odbiera pilne alerty, także w weekend.

3. Umów 30-minutową rozmowę: powiem, co Was dotyczy, i przygotuję konto w portalu z Twoimi produktami.