Registos de gestão de vulnerabilidades do CRA

Obrigação relativa ao processo

Ao colocar um produto com elementos digitais no mercado e durante o período de suporte, os fabricantes devem assegurar que as vulnerabilidades desse produto, incluindo as dos seus componentes, são tratadas eficazmente e em conformidade com os requisitos essenciais de cibersegurança estabelecidos na parte II do anexo I.

Regulamento (UE) 2024/2847, artigo 13.º, n.º 8

A obrigação começa quando o produto é colocado no mercado e continua durante o período de suporte. Abrange o produto e os respetivos componentes.

Principais tipos de registos

Exemplo: de um alerta sobre um componente ao encerramento

Considere uma vulnerabilidade fictícia num analisador sintático de uma versão de firmware de um controlador. Os seis registos seguintes constituem um histórico de caso de exemplo. Demonstram como uma equipa pode relacionar a receção do alerta, o impacto no produto e a correção; esta sequência não é um formulário imposto pelo CRA.

1. Receção: registe a data e hora de receção, a origem, o componente, o identificador da vulnerabilidade e as informações disponíveis nesse momento. Preserve o relatório original.
2. Impacto no produto: utilize a SBOM e os registos de compilação para identificar as versões potencialmente afetadas. Confirme se um atacante consegue aceder ao analisador sintático afetado em cada configuração suportada; registe as evidências e as incertezas que persistem.
3. Decisão de notificação: avalie imediatamente o artigo 14.º se houver evidências de exploração ativa ou de um incidente grave de cibersegurança do produto. Registe os momentos em que a situação foi conhecida e apresente as notificações exigidas dentro dos prazos aplicáveis, enquanto a investigação técnica prossegue.
4. Tratamento: avalie o risco para o produto, atribua a correção ou medida de mitigação e coordene-se com o responsável pela manutenção do componente, quando relevante. Registe a medida escolhida e a respetiva justificação.
5. Verificação e lançamento: teste o analisador sintático corrigido e as funções do produto afetadas, conserve a compilação testada e associe a atualização de segurança, as evidências de distribuição e as instruções para os utilizadores.
6. Encerramento e acompanhamento: registe o resultado verificado, o inventário de componentes atualizado, a comunicação aos utilizadores e a divulgação. Mantenha em aberto a necessidade de outras medidas para qualquer versão abrangida ainda sem correção eficaz.

O registo do caso deve distinguir a conclusão da correção interna, a apresentação das notificações obrigatórias e a entrega ou instalação da atualização. Por exemplo, uma correção pode ser publicada, mas alguns utilizadores afetados ainda podem ter de a instalar e necessitar de acompanhamento.

Ligação ao anexo VII

O anexo VII exige que a documentação técnica inclua as informações e especificações necessárias relativas aos processos de tratamento de vulnerabilidades, incluindo a SBOM, a política de divulgação coordenada de vulnerabilidades, o contacto para a comunicação de vulnerabilidades e a distribuição segura de atualizações.

• registos que sustentem o histórico de vulnerabilidades do produto;
• registos que expliquem como as vulnerabilidades são triadas e corrigidas;
• registos que demonstrem a distribuição de atualizações e a comunicação aos utilizadores;
• relatórios de testes e revisões que sustentem a avaliação da conformidade.

O projeto prEN 40000-1-3 explica com mais pormenor a versão atual do projeto de norma sobre o tratamento de vulnerabilidades.