Cyber Resilience Act (CRA) je nová evropská legislativa, která vstoupí v plnou platnost v roce 2027 a stanovuje povinné kybernetické bezpečnostní požadavky pro výrobce a distributory produktů s digitálními prvky prodávaných v EU.
Nabízíme dva modely služeb podle vašich potřeb
Kompletní zajištění všech CRA požadavků od A do Z. Ideální pro firmy, které chtějí mít vše na jednom místě.
Vyberte si konkrétní služby podle potřeb vaší organizace. Flexibilní a škálovatelné řešení.
Specializované služby pokrývající všechny oblasti Cyber Resilience Act
Kompletní analýza vašich produktů a procesů ve vztahu k požadavkům CRA. Identifikace gaps a návrh řešení.
Důkladná analýza současného stavu a identifikace nedostatků. Detailní akční plán pro dosažení compliance.
Vytvoření a správa kompletní technické dokumentace požadované CRA včetně bezpečnostní dokumentace.
Řízení bezpečnostních zranitelností, vytvoření procesů pro jejich identifikaci, hodnocení a řešení.
Návrh a implementace procesů pro hlášení a řešení bezpečnostních incidentů podle požadavků CRA.
Kompletní správa Software Bill of Materials včetně vytvoření, aktualizace a publikace SBOM.
Koordinace testování, penetračních testů a certifikačních procesů s notifikovanými osobami.
Odborná školení pro vaše týmy a průběžné poradenství v oblasti CRA compliance.
Strukturovaný přístup k dosažení CRA compliance
Posouzení produktového portfolia, identifikace dotčených produktů a stanovení rozsahu CRA požadavků.
Detailní audit současného stavu, identifikace nedostatků a vytvoření implementačního plánu.
Zavedení technických a organizačních opatření, vytvoření dokumentace a procesů.
Provedení testování, penetračních testů a získání certifikace od notifikované osoby.
Monitoring, aktualizace, řízení změn a udržování souladu s CRA požadavky.
Výhody využití našich služeb
Tým specialistů s hlubokými znalostmi CRA a kybernetické bezpečnosti produktů.
Zkrácení času potřebného k dosažení compliance a uvedení produktů na trh EU.
Eliminace potřeby budovat interní CRA expertízu a infrastrukturu.
Škálovatelné služby přizpůsobené velikosti a potřebám vaší organizace.
Klíčové milníky Cyber Resilience Act
Cyber Resilience Act oficiálně vstupuje v platnost v EU.
Začínají platit povinnosti hlášení aktivně zneužívaných zranitelností.
Všechny požadavky CRA musí být implementovány pro nové i existující produkty.
Identifikujte, zda vaše produkty spadají pod CRA
Aplikace, operační systémy, middleware, nástroje pro vývoj a bezpečnostní software.
Routery, firewally, síťová zařízení, průmyslové řídící systémy a embedded systémy.
Chytré domácnosti, nositelná elektronika, zdravotnické přístroje a automotive systémy.
Cloud platformy, SaaS aplikace, PaaS řešení a virtualizační technologie.
Příklady produktů s digitálními prvky podléhajících CRA
Specializované služby rozšiřující naši nabídku
Poradenství při návrhu produktů s důrazem na bezpečnost od počátku vývoje.
Mapování a analýza dodavatelského řetězce, identifikace rizik třetích stran.
Příprava a správa EU prohlášení o shodě pro vaše produkty.
Průběžné sledování bezpečnostních hrozeb a aktualizace SBOM.
Posouzení dodavatelů a partnerů z pohledu CRA compliance.
Monitoring produktů po uvedení na trh, sběr a analýza bezpečnostních dat.
Odpovědi na nejčastější dotazy ohledně CRA
CRA se vztahuje na produkty s digitálními prvky - software, hardware, IoT zařízení, cloud služby. Výjimkou jsou např. open-source projekty bez komerčního využití, produkty pro výzkum a vývoj, nebo produkty již pokryté specifickou legislativou (zdravotnické přístroje, automobily).
Pokuty mohou dosáhnout až 15 milionů EUR nebo 2,5 % globálního ročního obratu (podle toho, co je vyšší). Sankce se liší podle závažnosti porušení - od varování přes dočasné zákazy až po stažení produktů z trhu.
Typická implementace trvá 6-18 měsíců v závislosti na komplexitě produktového portfolia, současném stavu bezpečnosti a dostupných zdrojích. Doporučujeme začít co nejdříve s gap analýzou.
Ne všechny produkty vyžadují certifikaci třetí stranou. Kritické produkty (Třída I a II) musí projít posouzením notifikovanou osobou. Standardní produkty mohou být certifikovány samohodnocením výrobce.
CRA se zaměřuje specificky na bezpečnost produktů s digitálními prvky v celém jejich životním cyklu. ISO 27001 se týká řízení informační bezpečnosti organizace, NIS2 reguluje provozovatele kritické infrastruktury. Mohou se doplňovat.
Primárně výrobce produktu. Pokud je výrobce mimo EU, povinnosti přechází na dovozce nebo zplnomocněného zástupce v EU. Distributoři mají také určité kontrolní povinnosti.