Cyber Resilience Act

Что это значит

Cyber Resilience Act - это регламент ЕС, который обязывает производителей аппаратного и программного обеспечения с цифровыми элементами проектировать продукты безопасно, устранять уязвимости в течение всего срока поддержки и сообщать об активно эксплуатируемых ошибках. Он касается роутеров, умных устройств, приложений и корпоративного ПО.

В отличие от NIS2, которая регулирует кибербезопасность организаций, CRA нацелен на сами продукты. Безопасность становится условием выхода на рынок так же, как электробезопасность, и без выполнения требований продукт не может иметь маркировку CE.

Обязанности вводятся поэтапно. Сообщение об активно эксплуатируемых уязвимостях и серьёзных инцидентах действует с сентября 2026 года, большинство остальных требований к проектированию, документации и оценке соответствия - с декабря 2027 года. Более строгий режим действует для важных и критических категорий продуктов.

Как это работает на практике

Производитель должен оценить риски, поставлять продукт без известных эксплуатируемых уязвимостей, с безопасными настройками по умолчанию и выпускать обновления безопасности в течение установленного срока поддержки. Сюда же относится перечень использованных компонентов и процесс приёма сообщений об ошибках.

Фирмы, которые заказывают разработку ПО для собственных нужд, напрямую не подпадают под обязанности производителя. Но если они продают его дальше клиентам, они становятся производителем. Поэтому в договоре на разработку ПО должно быть ясно, кто отвечает за обновления и сообщения.

Для ИТ-команд CRA - хорошая новость: у продуктов будет более понятный срок поддержки, а производители будут публиковать уязвимости с обозначением CVE. Это облегчит управление обновлениями и выбор поставщиков, серьёзно относящихся к безопасности.

На что обратить внимание

За несоблюдение грозят высокие штрафы и изъятие продукта с рынка. Небольшим софтверным фирмам и производителям устройств стоит заранее определить, какие продукты подпадают под регламент и какая оценка соответствия им нужна, ведь подготовка документации занимает месяцы.

Открытое ПО, разрабатываемое вне коммерческой деятельности, из регламента исключено, но фирма, встраивающая компоненты open source в свой продукт, отвечает за их безопасность. Стоит проверить и страхование ответственности за продукцию.