ЕС Закон о киберустойчивости (CRA)

Закон ЕС о киберустойчивости (CRA) вводит строгие обязательные требования кибербезопасности для аппаратных и программных продуктов, размещаемых на европейском рынке. Поскольку переходный период быстро приближается к крайнему сроку вступления в силу в конце 2027 года, производители «продуктов с цифровыми элементами» — от умной бытовой техники до корпоративного программного обеспечения — должны фундаментально изменить способы управления и поддержки своих продуктов. В рамках CRA кибербезопасность больше не является второстепенной задачей; это является обязательным условием для нанесения Знака CE. Штрафы за доставку небезопасных продуктов или несообщение об использованных уязвимостях в течение 24 часов могут достигать 15 миллионов евро или 2,5% мирового оборота.

Регуляторное бремя CRA в значительной степени ориентировано на активы. Производители должны создавать и поддерживать машиночитаемую спецификацию программного обеспечения (SBOM), чтобы отображать уязвимости цепочки поставок. Они должны провести и оценить всестороннюю оценку рисков кибербезопасности, прежде чем продукт появится на рынке. Наиболее сложной задачей для производителей устаревших продуктов является необходимость установить прозрачную политику обработки уязвимостей и гарантировать бесплатные обновления безопасности в течение ожидаемого срока службы продукта (минимум 5 лет).

Sustalium выступает в качестве вашего центра соответствия CRA. Он соединяет динамические результаты вашей команды инженеров, такие как SBOM SPDX/CycloneDX и отчеты о тестах на проникновение, непосредственно с вашей командой по соблюдению законодательства. Платформа помогает структурировать ваши политики раскрытия уязвимостей и отображает жизненные циклы обновлений безопасности, создавая точные заявления о соответствии CRA, необходимые органам по надзору за рынком. В сочетании с модулем маркировки CE Sustalium вы можете управлять своими активами по электробезопасности, опасным химическим веществам (RoHS) и кибербезопасности в одном едином, готовом к аудиту техническом файле.

Чтобы подробнее узнать, как CRA и NIS2 влияют на производителей оборудования и Интернета вещей, прочтите наше руководство по NIS2 и Закону о киберустойчивости.