Cyberbezpieczeństwo embedded i przygotowanie do Cyber Resilience Act
Wsparcie inżynierskie dla producentów, którzy muszą dostosować urządzenia do unijnego rozporządzenia o cyberodporności: secure boot, bezpieczne aktualizacje, SBOM i działający proces obsługi podatności.
Co CRA zmienia dla producentów, importerów i dystrybutorów
CRA wchodzi etapami. Obowiązki raportowe producentów już obowiązują, także dla produktów wprowadzonych na rynek wcześniej. Importerzy i dystrybutorzy mają własne obowiązki weryfikacyjne od 11 grudnia 2027.
Grudzień 2024
Rozporządzenie (UE) 2024/2847 wchodzi w życie
Cyber Resilience Act staje się obowiązującym prawem z etapowymi terminami stosowania.
27 lipca 2026
Wytyczne Komisji dla producentów
Komisja Europejska publikuje praktyczne wytyczne dla producentów.
11 września 2026
Obowiązki raportowe
Producenci muszą zgłaszać aktywnie wykorzystywane podatności i poważne incydenty do ENISA i właściwego krajowego CSIRT przez Single Reporting Platform - także dla produktów wprowadzonych na rynek przed tą datą.
11 grudnia 2027
Stosowanie głównych obowiązków
Wymagania security-by-design, SBOM, obsługa podatności i oznakowanie CE w ramach CRA obejmują produkty wprowadzane na rynek UE.
Terminy zgłoszeń i kary
- Wczesne ostrzeżenie w 24 h od uzyskania wiedzy o aktywnie wykorzystywanej podatności lub poważnym incydencie.
- Szczegółowe zgłoszenie w 72 h.
- Raport końcowy: dla podatności do 14 dni po udostępnieniu poprawki lub środka zaradczego; dla incydentów do miesiąca po zgłoszeniu.
- Kary za naruszenie obowiązków raportowych: do 15 mln euro lub 2,5% światowego rocznego obrotu (wyższa kwota).
- Aktualizacje bezpieczeństwa przez min. 5 lat lub przewidywany czas użytkowania, jeśli jest krótszy.
Nasz zakres inżynierski
Secure boot
Łańcuch zaufania od niezmiennego kodu do aplikacji.
Kryptografia sprzętowa i klucze
Wykorzystanie funkcji bezpieczeństwa MCU lub secure element do ochrony kluczy.
Bezpieczne OTA
Podpisane, weryfikowane aktualizacje z możliwością wycofania - projektowane z IoT i łącznością.
SBOM
Wykazy komponentów oprogramowania generowane w buildzie dla każdego wydania.
Obsługa podatności
Przyjmowanie zgłoszeń, triage, poprawki i procedura zgłoszeń 24/72 h.
Logowanie
Zdarzenia bezpieczeństwa rejestrowane i dostępne do analizy incydentów.
Gotowość na CRA i analiza luk
Analiza luk porównuje produkt i procesy z inżynierskimi wymaganiami CRA i daje priorytetowy plan działań.
Co robimy, a czego nie
Robimy
- Oceniamy firmware, hardware i architekturę aktualizacji względem wymagań inżynierskich CRA
- Wdrażamy secure boot, bezpieczne OTA, generowanie SBOM i logowanie
- Ustawiamy z Twoim zespołem proces obsługi i zgłaszania podatności
- Przygotowujemy dokumentację techniczną dla Twoich doradców prawnych i compliance
Nie robimy
- Nie udzielamy porad prawnych ani interpretacji przepisów
- Nie działamy jako jednostka oceny zgodności (CE)
- Nie certyfikujemy produktów ani nie wystawiamy deklaracji zgodności
Długoterminowe wsparcie
Obowiązki CRA trwają przez cały okres wsparcia. Możemy utrzymywać firmware, monitorować komponenty z SBOM i przygotowywać łatki bezpieczeństwa przez lata po premierze. Dla produktów już na rynku zobacz modernizację.
Cyber Resilience Act w szczegółach
Kogo obejmuje rozporządzenie, jak klasyfikuje produkty i co jego zasadnicze wymagania oznaczają dla firmware i hardware. Wyjaśnienia inżynierskie, nie porada prawna.
FAQ
Omów swój projekt
Opisz projekt i cel. Inżynier odpowie w ciągu jednego dnia roboczego.
Wolisz e-mail?
[email protected]- Odpowiadamy w ciągu jednego dnia roboczego
- NDA przed rozmowami technicznymi