CRA Konzultace
Připravte své produkty na novou éru digitální bezpečnosti
Od posouzení shody až po implementaci security by design — pomáháme výrobcům, dovozcům a distributorům naplnit požadavky EU Cyber Resilience Act a uvést bezpečné produkty na trh.
Co je Cyber Resilience Act?
Cyber Resilience Act (CRA) je evropská regulace, která zavádí povinné požadavky na kybernetickou bezpečnost produktů s digitálními prvky (hardware i software). Cílem je chránit spotřebitele a podniky před zranitelnými produkty a zajistit, že digitální zařízení prodávaná na evropském trhu budou bezpečná po celou dobu své životnosti. CRA se dotýná výrobců, dovozců i distributorů.
Témata, která pokrýváme
Komplexní odbornost napříč všemi pilíři CRA.
Security by Design & Default
Integrace bezpečnostních požadavků již do fáze návrhu produktu. Threat modeling, bezpečnostní architektura, hardening a minimální útočná plocha.
Vulnerability Management
Systematická identifikace, hodnocení a řízení zranitelností po celý životní cyklus produktu. SBOM, CVE monitoring a prioritizace oprav.
Security Updates & Patches
Procesy pro včasné vydávání bezpečnostních aktualizací. SLA pro opravy, automatizované testování a distribuci patchů uživatelům.
Reporting & Documentation
Příprava technické dokumentace, EU Declaration of Conformity, post-market monitoring a povinné hlášení bezpečnostních incidentů ENISA.
CE Marking & Certifikace
Podpora při přípravě na CE značku pro produkty dle CRA. Identifikace příslušných norem, spolupráce s Notified Body pro vyšší třídy rizika.
SBOM & Software Transparency
Vytvoření a správa Software Bill of Materials. Transparentní evidence komponent, licencí a známých zranitelností napříč supply chain.
PSIRT & Incident Response
Zavedení Product Security Incident Response Team. Koordinovaná reakce na nahlášené zranitelnosti, komunikace s findery a regulátory.
Supply Chain & Dodavatelé
Audit a řízení bezpečnosti dodavatelského řetězce. Bezpečnostní požadavky na subdodavatele, TOM a prověrka komponent třetích stran.
Role v dodavatelském řetězci
Každá role má specifické povinnosti dle CRA.
Výrobce (Manufacturer)
Primární odpovědnost za bezpečnost produktu. Plánování, návrh, vývoj, testování, dokumentace, CE značka, aktualizace a hlášení zranitelností.
Dovozce (Importer)
Odpovědnost za to, že na EU trh uvádí pouze produkty splňující CRA. Ověření dokumentace, spolupráce s výrobcem a v případě rizika zastavení distribuce.
Distributor
Povinnost dbát náležité péče. Kontrola CE značky, správné označení a instrukce. Povinnost informovat výrobce/dovozce o nahlášených incidentech.
Klasifikace produktů dle CRA
Rozdělení podle úrovně rizika a kritičnosti.
Produkty Class I
Standardní produkty s digitálními prvky (např. běžná IoT zařízení, spotřební elektronika, software). Vyžadují samocertifikaci s interním posouzením shody.
Produkty Class II
Kritické produkty s vyšším bezpečnostním rizikem (např. průmyslové systémy, kritická infrastruktura, zdravotnické SW/HW). Vyžadují certifikaci Notified Body.
Remote & Data Processing
Produkty bez digitálních prvků, ale které zpracovávají data vzdáleně (cloudové služby k produktu). Specifické povinnosti pro výrobce a poskytovatele.
Naše CRA konzultační služby
End-to-end podpora od analýzy až po údržbu po uvedení na trh.
Gap Analysis CRA
Posouzení aktuálního stavu vašich produktů a procesů vůči požadavkům CRA. Prioritizace nedostatků a roadmap implementace.
Implementace požadavků
Praktická podpora při zavedení security by design, vulnerability management procesů, patch managementu a dokumentace.
Příprava CE značky
Pomoc s technickou dokumentací, EU Declaration of Conformity, risk assessment a přípravou na audit Notified Body pro Class II.
SBOM & PSIRT
Nastavení SBOM procesů a založení PSIRT. Automatizace monitoringu CVE, koordinace oprav a komunikace s bezpečnostní komunitou.
Supply Chain Audit
Audit bezpečnosti dodavatelského řetězce, bezpečnostní požadavky na subdodavatele a prověrka komponent třetích stran.
Školení & Awareness
Interní školení pro vývojáře, management a compliance týmy. Pochopení CRA povinností a bezpečnostních standardů.
Klíčové termíny CRA
Důležité milníky pro připravenost na CRA.
Přechodné období
Příprava, analýza dopadu a plánování změn.
Plná účinnost CRA
Všechny produkty uváděné na trh EU musí splňovat CRA požadavky.
Retroaktivita pro určité produkty
Některé kritické produkty musí být aktualizovány i v terénu.
Proč investovat do CRA připravenosti
Časté dotazy k CRA
Koho se CRA týká?
CRA se týká výrobců, dovozců a distributorů produktů s digitálními prvky (hardware i software) uváděných na trh EU. Dotýká se také poskytovatelů služeb k těmto produktům.
Jaký je rozdíl mezi Class I a Class II?
Class I jsou standardní produkty s digitálními prvky vyžadující samocertifikaci. Class II jsou kritické produkty s vyšším bezpečnostním rizikem, které musí projít certifikací u Notified Body.
Musím mít SBOM?
Ano, transparentnost softwarových komponent je klíčovým požadavkem CRA. SBOM umožňuje rychlou identifikaci zranitelností a efektivní správu závislostí.
Co je PSIRT a musím ho mít?
Product Security Incident Response Team zajišťuje koordinovanou reakci na nahlášené zranitelnosti. CRA vyžaduje mechanismy pro přijímání a řešení bezpečnostních hlášení.
Jak CRA souvisí s NIS2?
CRA se zaměřuje na bezpečnost PRODUKTŮ, NIS2 na bezpečnost ORGANIZACÍ. Mnoho výrobců spadá pod obě regulace — produkty musí být bezpečné a organizace musí mít zavedené bezpečnostní procesy.
Připravte se na CRA včas
Kontaktujte nás pro nezávaznou konzultaci. Společně projdeme vaše produkty a připravíme plán shody s CRA.