Cyber Resilience Act

Що це означає

Cyber Resilience Act - це регламент ЄС, який зобов'язує виробників апаратного й програмного забезпечення з цифровими елементами проєктувати продукти безпечно, усувати вразливості протягом усього строку підтримки й повідомляти про активно експлуатовані помилки. Він стосується роутерів, розумних пристроїв, застосунків і корпоративного ПЗ.

На відміну від NIS2, що регулює кібербезпеку організацій, CRA спрямований на самі продукти. Безпека стає умовою виходу на ринок так само, як електробезпека, і без виконання вимог продукт не може мати маркування CE.

Обов'язки запроваджують поетапно. Повідомлення про активно експлуатовані вразливості й серйозні інциденти діє з вересня 2026 року, більшість інших вимог до проєктування, документації й оцінювання відповідності - з грудня 2027 року. Суворіший режим діє для важливих і критичних категорій продуктів.

Як це працює на практиці

Виробник має оцінити ризики, постачати продукт без відомих уразливостей, які можна експлуатувати, з безпечними налаштуваннями за замовчуванням і випускати оновлення безпеки протягом установленого строку підтримки. Сюди ж належить перелік використаних компонентів і процес приймання повідомлень про помилки.

Фірми, які замовляють розроблення ПЗ для власних потреб, безпосередньо не підпадають під обов'язки виробника. Але якщо вони продають його далі клієнтам, то стають виробником. Тому в договорі на розроблення ПЗ має бути зрозуміло, хто відповідає за оновлення й повідомлення.

Для ІТ-команд CRA - добра новина: продукти матимуть зрозуміліший строк підтримки, а виробники публікуватимуть уразливості з позначенням CVE. Це полегшить керування оновленнями і вибір постачальників, які серйозно ставляться до безпеки.

На що звернути увагу

За недотримання загрожують високі штрафи й вилучення продукту з ринку. Невеликим софтверним фірмам і виробникам пристроїв варто заздалегідь визначити, які продукти підпадають під регламент і яке оцінювання відповідності їм потрібне, бо підготовка документації триває місяці.

Відкрите ПЗ, яке розробляють поза комерційною діяльністю, з регламенту виключене, але фірма, що вбудовує компоненти open source у свій продукт, відповідає за їхню безпеку. Варто перевірити й страхування відповідальності за продукцію.