Unijny CRA: prEN 40000-1-2, zasady cyberodporności

Status projektu

Omawiany tekst przekazano do ankiety w październiku 2025 r. Jest to objaśnienie konkretnej wersji projektu, a nie stwierdzenie, że ankieta nadal trwa lub że jest to najnowszy tekst. Wymagania mogą ulec zmianie w kolejnych wersjach. Sam projekt nie ustanawia domniemania zgodności z CRA.

Pozycja 1 w M/606 wymaga europejskiej normy dotyczącej projektowania, rozwijania i wytwarzania produktów z elementami cyfrowymi w taki sposób, aby zapewniały poziom cyberbezpieczeństwa odpowiedni do ryzyka. Termin dla tej pozycji z M/606 upływa 30 sierpnia 2026 r.

Relacja z załącznikiem I

Produkty z elementami cyfrowymi projektuje się, rozwija i wytwarza w taki sposób, aby zapewniały odpowiedni poziom cyberbezpieczeństwa stosownie do ryzyka.

Rozporządzenie (UE) 2024/2847, załącznik I część I pkt 1

prEN 40000-1-2 jest najbliższa temu ogólnemu wymaganiu z części I. Jest to norma dotycząca procesów i cyklu życia. Nie zastępuje bardziej szczegółowych wymagań bezpieczeństwa produktu określonych w pkt 2 lit. a–m części I załącznika I i nie jest normą dotyczącą obsługi podatności.

Zasady cyberbezpieczeństwa

Punkt 5 projektu z października 2025 r. określa cztery zasady dotyczące planowania, projektowania, wdrażania, produkcji i utrzymania produktu: podejście oparte na ryzyku, bezpieczeństwo w fazie projektowania, bezpieczne ustawienia domyślne oraz przejrzystość.

Struktura zarządzania ryzykiem

Projekt traktuje zarządzanie ryzykiem jako powtarzane działanie dotyczące produktu, a nie jednorazowy formularz. Najpierw należy określić kontekst produktu, ponieważ to samo oprogramowanie lub sprzęt może stwarzać różne ryzyka w różnych przypadkach użycia.

Działania w cyklu życia

Projekt przekłada następnie zasady na działania w cyklu życia. Można je dostosować do różnych modeli rozwoju; ważne jest zaplanowanie, przeprowadzenie i sprawdzenie prac z zakresu bezpieczeństwa oraz ich aktualizowanie.

• planowanie cyberbezpieczeństwa produktu;
• wymagania dotyczące cyberbezpieczeństwa produktu;
• architektura i projekt cyberbezpieczeństwa;
• bezpieczne wdrażanie;
• weryfikacja i walidacja cyberbezpieczeństwa;
• bezpieczna produkcja i dystrybucja;
• zarządzanie problemami cyberbezpieczeństwa;
• monitorowanie produktu;
• planowanie bezpiecznego wycofania z eksploatacji;
• zarządzanie cyberbezpieczeństwem komponentów stron trzecich.

Granice z innymi normami

prEN 40000-1-2 jest normą dotyczącą zasad i zarządzania ryzykiem w cyklu życia. Obsługa podatności należy do prEN 40000-1-3 Obsługa podatności. Normy dotyczące konkretnych produktów mogą dodawać wymagania dla poszczególnych kategorii przeglądarek, routerów, zapór sieciowych, bezpiecznych elementów i innych ważnych lub krytycznych produktów.

Program normalizacji CRA opisano w Normy i normy zharmonizowane.