Informacje dla użytkowników i instrukcje zgodnie z CRA
Sytance · Zaktualizowano
Informacje dla użytkownika wymagane przez CRA to materiały dołączane do produktu, które pomagają bezpiecznie zainstalować, obsługiwać, aktualizować i wycofać produkt z eksploatacji oraz zgłaszać jego podatności. Są przeznaczone dla użytkowników, integratorów, właścicieli i operatorów, a nie tylko do wewnętrznej dokumentacji producenta.
Informacje dla użytkowników
Producenci zapewniają, aby do produktów z elementami cyfrowymi dołączono informacje i instrukcje dla użytkownika określone w załączniku II, w formie papierowej lub elektronicznej. Informacje i instrukcje przekazuje się w języku łatwo zrozumiałym dla użytkowników i organów nadzoru rynku. Muszą być jasne, zrozumiałe, jednoznaczne i czytelne. Powinny umożliwiać bezpieczną instalację, obsługę i użytkowanie produktów z elementami cyfrowymi. Producenci udostępniają użytkownikom i organom nadzoru rynku informacje i instrukcje dla użytkownika określone w załączniku II przez co najmniej 10 lat od wprowadzenia produktu z elementami cyfrowymi do obrotu albo przez okres wsparcia — w zależności od tego, który okres jest dłuższy. Jeżeli informacje i instrukcje są udostępniane online, producenci zapewniają, aby były dostępne, przyjazne dla użytkownika i pozostawały online przez co najmniej 10 lat od wprowadzenia produktu z elementami cyfrowymi do obrotu albo przez okres wsparcia — w zależności od tego, który okres jest dłuższy.
Rozporządzenie (UE) 2024/2847, art. 13 ust. 18
Informacje mogą być przekazane w formie papierowej lub elektronicznej. Muszą być w języku łatwo zrozumiałym dla użytkowników i organów nadzoru rynku. Jeśli są udostępniane online, muszą pozostać dostępne i przyjazne dla użytkownika przez wymagany okres.
Materiały dla użytkownika
Wyjaśniają bezpieczne użytkowanie, wsparcie, aktualizacje, kanały kontaktu oraz informacje o ryzyku potrzebne użytkownikom.
Część dokumentacji dowodowej
Załącznik VII włącza również informacje dla użytkownika z załącznika II do dokumentacji technicznej.
Zawartość załącznika II
Załącznik II określa minimalny zakres informacji. Łączy identyfikację produktu, informacje o wsparciu, instrukcje bezpiecznego użytkowania i kontakt w sprawie podatności.
Załącznik II wymaga podania nazwy producenta, danych kontaktowych, dostępnej strony internetowej oraz informacji wystarczających do jednoznacznej identyfikacji produktu.
Użytkownik musi otrzymać informację, jak zgłaszać i otrzymywać informacje o podatnościach oraz gdzie znaleźć politykę skoordynowanego ujawniania podatności.
Informacje muszą opisywać zamierzone przeznaczenie, środowisko bezpieczeństwa, podstawowe funkcje, właściwości bezpieczeństwa oraz znane lub przewidywalne okoliczności, które mogą prowadzić do istotnych zagrożeń cyberbezpieczeństwa.
Załącznik II wymaga podania rodzaju technicznego wsparcia w zakresie bezpieczeństwa oraz daty końca okresu wsparcia. Wymaga też instrukcji instalowania aktualizacji istotnych z punktu widzenia bezpieczeństwa.
Załącznik II wymaga informacji o bezpiecznym uruchomieniu i użytkowaniu przez cały okres eksploatacji, bezpiecznym wycofaniu produktu, usuwaniu danych, ustawieniach automatycznych aktualizacji oraz integracji, jeśli produkt ma być włączony do innego produktu.
Instrukcje bezpiecznego użytkowania
CRA nie wymaga ogólnych porad dotyczących bezpieczeństwa. Instrukcje powinny odpowiadać danemu produktowi, jego zamierzonemu przeznaczeniu i przewidywalnemu użytkowaniu oraz osobom, które będą go instalować lub obsługiwać.
Punkt 8 załącznika II wymaga instrukcji lub odnośnika do nich dotyczących:
- środków niezbędnych przy pierwszym uruchomieniu oraz przez cały okres eksploatacji produktu;
- wpływu zmian produktu na bezpieczeństwo danych;
- instalowania aktualizacji istotnych z punktu widzenia bezpieczeństwa;
- bezpiecznego wycofania z eksploatacji i bezpiecznego usuwania danych użytkownika;
- wyłączania automatycznych aktualizacji zabezpieczeń, jeśli są domyślnie włączone;
- informacji potrzebnych innemu producentowi lub integratorowi do integracji produktu.
Jasne instrukcje nie zastępują bezpiecznego projektu
Informacje dla użytkownika mogą wyjaśniać założenia i ryzyka rezydualne. Nie mogą służyć do pominięcia wymagań bezpieczeństwa produktu.
Data wsparcia widoczna przy zakupie
Artykuł 13 ust. 19 wymaga, aby data końca okresu wsparcia była jasna w chwili zakupu. Musi obejmować co najmniej miesiąc i rok. Jeśli jest to technicznie wykonalne, użytkowników należy również powiadomić o zakończeniu wsparcia produktu.
Przy zakupie
Użytkownicy powinni widzieć datę końca wsparcia w chwili zakupu.
Podczas użytkowania
Użytkownicy potrzebują instrukcji aktualizacji odpowiadających rzeczywistemu sposobowi aktualizowania produktu.
Granica z dokumentacją techniczną
Informacje dla użytkownika i dokumentacja techniczna są przeznaczone dla różnych odbiorców. Informacje dla użytkownika wspierają bezpieczne użytkowanie. Dokumentacja techniczna jest zbiorem dowodów wykorzystywanym do wykazania zgodności z CRA.
Załącznik VII włącza informacje dla użytkownika z załącznika II do dokumentacji technicznej, ale wymaga również dowodów wewnętrznych, takich jak informacje o projekcie i architekturze, proces obsługi podatności, ocena ryzyka cyberbezpieczeństwa, uzasadnienie okresu wsparcia, zastosowane normy i raporty z testów.