Posuzování shody
s Cyber Resilience Act
Připravíme váš produkt s digitálními prvky na CE označení podle CRA. Od gap analýzy a SBOM přes penetrační testy a technickou dokumentaci až po koordinaci s notifikovaným subjektem.
Do které kategorie CRA spadá váš produkt?
CRA dělí produkty do tří úrovní podle rizika. Náročnost posouzení i nákladů se zásadně liší.
Default
~90%Self-assessment výrobcem (modul A) – většina běžných produktů.
Important – třída I
~8%Např. password manageri, VPN, SIEM, EDR – self-assessment nebo notifikovaný subjekt.
Important – třída II / Critical
~2%HSM, smart karty, OS pro kritickou infrastrukturu – povinné posouzení třetí stranou.
Komplexní servis pro posouzení shody CRA
Pomáháme výrobcům, vývojářům a poskytovatelům digitálních produktů projít celým procesem – od prvotní gap analýzy až po označení CE a post-market monitoring.
1. Předběžné posouzení a gap analýza
Zjistíme, jak daleko je váš produkt od požadavků CRA.
- Vyhodnocení souladu produktu a interních procesů s požadavky CRA
- Identifikace chybějících opatření, dokumentace a bezpečnostních kontrol
- Mapování rizik, která mohou bránit certifikaci a označení CE
2. Příprava dokumentace k posouzení shody
Kompletní technická a procesní dokumentace dle příloh CRA.
- Zpracování technické dokumentace podle přílohy I a VII CRA
- Vypracování bezpečnostní technické zprávy (Security Technical File)
- Procesní směrnice pro zranitelnosti, aktualizace a incidenty
- Tvorba a správa Software Bill of Materials (SBOM)
3. Interní testování a validace
Ověříme bezpečnost produktu před vstupem na trh.
- Penetrační testy, code review a SAST/DAST analýzy
- Ověření integrity komponent a open-source závislostí
- Soulad s ENISA doporučeními a normami ISO/IEC 27402, ETSI EN 303 645
4. Spolupráce s notifikovanými subjekty
Provedeme vás certifikací třetí stranou.
- Výběr vhodného modulu posuzování shody (A, B, C, H dle CRA)
- Koordinace s nezávislým hodnotitelem a notifikovaným subjektem
- Příprava podkladů pro označení CE a EU Declaration of Conformity (DoC)
5. Post-market monitoring a reporting
Splníme povinnosti i po uvedení produktu na trh.
- Nastavení interního systému pro monitoring zranitelností a incidentů
- Podpora oznámení aktivně zneužitých zranitelností do ENISA do 24/72 hodin
- Pravidelné přezkoumání a aktualizace dokumentace o shodě
6. Coordinated Vulnerability Disclosure
Zavedeme proces pro hlášení a opravy zranitelností.
- Vytvoření Vulnerability Disclosure Policy (VDP) dle ISO/IEC 29147
- Nastavení security.txt, kontaktního kanálu a SLA pro patche
- Integrace VDP s interním ticketingem a SBOM pro rychlou reakci
6 kroků k označení CE podle CRA
Od klasifikace produktu po podpis EU prohlášení o shodě – víte, co vás v každém kroku čeká.
- 1
Identifikace a klasifikace produktu
Určíme, zda produkt spadá pod CRA, do jaké kategorie patří (výchozí, důležitý třídy I/II, kritický) a jaký modul posouzení shody se uplatní.
- 2
Analýza požadavků
Rozbor základních požadavků přílohy I: security by design, ochrana před zneužitím, důvěrnost, integrita, dostupnost a řízení zranitelností.
- 3
Interní audit a gap analýza
Prověříme procesy, dokumentaci i samotný produkt oproti CRA a pojmenujeme mezery, které brání shodě.
- 4
Zavedení opatření
Technické úpravy produktu, doplnění dokumentace, nastavení vulnerability managementu a procesů PSIRT.
- 5
Technická dokumentace
Kompletní dokumentace podle přílohy VII včetně posouzení rizik, SBOM, testovacích protokolů a EU prohlášení o shodě.
- 6
Posouzení shody a označení CE
Interní kontrola (modul A), nebo posouzení notifikovaným subjektem (moduly B+C, H), podpis prohlášení o shodě a umístění označení CE.
Bezpečnost ve všech fázích – od návrhu po EOL
CRA vyžaduje, aby kybernetická bezpečnost byla integrální součástí celého životního cyklu produktu, ne dodatečná nálepka.
Fáze 1 · Návrh a vývoj
Fáze 2 · Testování a ověření shody
Fáze 3 · Uvedení na trh
Fáze 4 · Provoz a podpora
Co všechno spadá pod CRA
Nařízení se vztahuje na všechny produkty s digitálními prvky, které mohou být přímo či nepřímo připojeny k síti.
Výsledek pro vaši firmu
Po úspěšném procesu posuzování shody získáte všechny dokumenty potřebné pro uvedení i další provoz produktu na trhu EU.
EU Declaration of Conformity
Oficiální prohlášení o shodě s nařízením CRA.
Označení CE
Volný oběh produktu na celém jednotném trhu EU.
Auditní dokumentace
Připravená sada podkladů pro dozorové orgány.
Důvěra zákazníků
Doložená kybernetická odolnost po celý životní cyklus.
CRA není projekt na pár týdnů
Od 11. prosince 2027 platí plná aplikovatelnost. Příprava ale vyžaduje hlubokou technickou i organizační transformaci – Security by Design, SBOM, threat modeling, vulnerability disclosure i post-market processes. Firmy, které začnou pozdě, riskují zmeškání trhu.
Co potřebujete vědět o CRA
SynergyBit – váš partner pro CRA compliance
Pomůžeme vám nejen splnit literu nařízení, ale vytvořit udržitelný rámec bezpečného vývoje a provozu, který obstojí i při auditu.