Krótka odpowiedź
Obowiązuje pierwszy operacyjny obowiązek CRA: raportowanie. Jeśli dowiesz się o aktywnie wykorzystywanej podatności w produkcie lub poważnym incydencie wpływającym na jego bezpieczeństwo, musisz w ścisłych terminach zgłosić to do ENISA i właściwego krajowego CSIRT przez Single Reporting Platform.
Większość pozostałych obowiązków - wymagania security-by-design, SBOM, obsługa podatności i oznakowanie CE w ramach CRA - stosuje się od 11 grudnia 2027.
Terminy
- Wczesne ostrzeżenie: w ciągu 24 godzin od uzyskania wiedzy.
- Szczegółowe zgłoszenie: w ciągu 72 godzin.
- Raport końcowy: dla podatności do 14 dni po udostępnieniu poprawki lub środka zaradczego; dla incydentów do miesiąca po zgłoszeniu.
Produkty już na rynku też są objęte
Obowiązek raportowy obejmuje produkty wprowadzone na rynek przed 11 września 2026. Dla wielu producentów to pierwszy raz, gdy starsze linie produktów potrzebują zdefiniowanego procesu reagowania na problemy bezpieczeństwa.
Kary
Naruszenie obowiązków raportowych może skutkować karą do 15 mln euro lub 2,5% światowego rocznego obrotu, w zależności od tego, która kwota jest wyższa.
Co zespoły embedded powinny zrobić teraz
- Opublikować kontakt ds. bezpieczeństwa i krótką politykę ujawniania podatności.
- Ustalić, kto składa wczesne ostrzeżenie w 24 h, i przygotować szablony zgłoszenia w 72 h.
- Wiedzieć, które wersje firmware są w terenie i jakie zawierają komponenty (SBOM).
- Sprawdzić, czy można dostarczyć podpisaną aktualizację do zainstalowanych urządzeń.
Kolejne kroki
Nasza bezpłatna checklista inżynierska CRA zamienia te obowiązki w konkretne punkty kontrolne. Jeśli chcesz spojrzenia z zewnątrz, umów analizę luk CRA.
Artykuł opisuje konsekwencje inżynierskie. Nie stanowi porady prawnej.