Zasadnicze wymagania CRA w zakresie cyberbezpieczeństwa

Struktura załącznika I

Załącznik I składa się z dwóch części. Część I dotyczy produktu, a część II — procesu obsługi podatności przez producenta. Artykuł 6 łączy te części: produkt można wprowadzić do obrotu tylko wtedy, gdy spełnia mające zastosowanie wymagania części I, a procesy producenta spełniają część II.

Artykuł 13 nakłada na producenta obowiązek oceny ryzyka cyberbezpieczeństwa. Ocena ta określa sposób zastosowania wymagań części I do produktu.

Część I: właściwości cyberbezpieczeństwa produktu

Część I rozpoczyna się od ogólnego oczekiwanego rezultatu dla produktu, po czym wymienia właściwości bezpieczeństwa stosowane na podstawie oceny ryzyka cyberbezpieczeństwa i w stosownych przypadkach. Wykaz jest szeroki, ponieważ CRA obejmuje wiele rodzajów oprogramowania, sprzętu, komponentów i zdalnego przetwarzania danych wspierającego funkcje produktu.

Produkty z elementami cyfrowymi projektuje się, rozwija i wytwarza w taki sposób, aby zapewniały odpowiedni poziom cyberbezpieczeństwa stosownie do ryzyka.

Rozporządzenie (UE) 2024/2847, załącznik I część I pkt 1

Aplikacja konsumencka, przemysłowa sieć VPN i komponent sprzętowy wielokrotnego użytku mogą wiązać się z odmiennymi ryzykami, nawet jeśli wymaganie sformułowano tak samo. Ocena ryzyka wyjaśnia, jak wymagania części I mają zastosowanie do danego produktu oraz dlaczego wymóg nie ma zastosowania, jeśli taki wniosek wyciągnął producent.

Część I dotyczy przede wszystkim tego, czy produkt może:

• trafić na rynek bez znanych podatności, które można wykorzystać, i z bezpieczną konfiguracją domyślną;
• obsługiwać podatności za pomocą aktualizacji zabezpieczeń, w tym aktualizacji automatycznych, gdy są odpowiednie dla produktu;
• chronić dostęp, poufność, integralność i dostępność, a także polecenia, programy, konfigurację i przetwarzane dane;
• ograniczać powierzchnię ataku i zmniejszać skutki incydentu;
• rejestrować i monitorować istotne działania związane z bezpieczeństwem, zapewniając użytkownikowi możliwość rezygnacji;
• umożliwiać użytkownikom bezpieczne usuwanie danych i ustawień oraz bezpieczne przenoszenie danych, jeśli taka funkcja jest dostępna.

Są to właściwości produktu, a nie jeden ustalony sposób wdrożenia. To samo wymaganie może prowadzić do odmiennych rozwiązań technicznych w urządzeniu konsumenckim, profesjonalnym produkcie sieciowym, zestawie SDK lub oprogramowaniu układowym przeznaczonym do integracji z innymi produktami.

Część II: obsługa podatności

Część II dotyczy procesu producenta. Ma zastosowanie od chwili wprowadzenia produktu do obrotu i przez cały okres wsparcia. Obejmuje także podatności w komponentach zawartych w produkcie, dlatego istotna jest wiedza o komponentach oraz komunikacja z ich dostawcami.

Normy i dowody

Normy zharmonizowane mogą stanowić podstawę domniemania zgodności tylko wtedy, gdy odpowiednie odniesienie do normy opublikowano w Dzienniku Urzędowym Unii Europejskiej. Projekty norm, mapowania i normy sektorowe nadal mogą być przydatnymi dowodami, ale nie zastępują wymaganej w art. 13 oceny ryzyka dotyczącej konkretnego produktu.

Wniosek normalizacyjny Komisji dotyczący CRA M/606 zwraca się do europejskich organizacji normalizacyjnych o opracowanie norm horyzontalnych i wertykalnych. FAQ dotyczące wdrażania opisuje produkty horyzontalne dla opartego na ryzyku systemu produktowego, właściwości produktów z części I oraz obsługi podatności z części II, a także normy wertykalne dla ważnych i krytycznych kategorii produktów.

Dokumentacja techniczna powinna wyjaśniać, w jaki sposób wybrane normy lub inne środki techniczne przeciwdziałają ryzykom zidentyfikowanym dla produktu. Następnie należy wskazać, które właściwości produktu i procesy obsługi podatności wdrażają te środki.

Zobacz Publiczne materiały prEN 40000-1-4 dotyczące aktualnie planowanej ogólnej normy wymagań bezpieczeństwa oraz prEN 40000-1-3 Obsługa podatności dotyczącą aktualnego projektu normy w zakresie obsługi podatności.