Küberresilientsuse seadus

Ülevaade

Küberresilientsuse seadus (CRA) kehtestab kohustuslikud küberturvalisuse nõuded riist- ja tarkvaratoodetele, millel on digitaalsed elemendid. See hõlmab kogu toote elutsüklit alates disainist kuni toe lõppemiseni ning eesmärk on lahendada ebaturvaliste IoT ja tarkvaratoodete levikut.^[1]

CRA kehtib EL turule paigutatud toodetele sõltumata nende tootmiskohast.

Rakendamise ajakava

Kohaldamisala tooted

Kaetud tooted

Tooted, millel on digitaalsed elemendid ja mis:

• Omavad otsest või kaudset loogilist või füüsilist andmeühendust seadme või võrguga
• Hõlmavad riist- ja tarkvarakomponente

Kategooriad

Erandid

• Avatud lähtekoodiga tarkvara (mittekaupmeeline arendus)
• SaaS (kaetud teiste määrustega)
• Tooted, mida juba reguleeritakse (meditsiiniseadmed, sõidukid, lennundus)
• Kaitse- ja riigikaitsetooted

Olulised küberturvalisuse nõuded^[2]

Turvalisus disainist lähtudes

Tooted peavad olema disainitud ja arendatud nii, et tagada:

1. Asjakohane turvalisuse tase: Põhinedes ette näha olevatel riskidel
2. Puuduvad teadaolevad ärakasutatavad haavatavused: Turuletoomise ajal
3. Turvaline vaikekonfiguratsioon: Kaasa arvatud tehase lähtestamise võimalus
4. Konfidentsiaalsuse kaitse: Salvestatud, edastatud ja töödeldud andmete puhul
5. Terviklikkuse kaitse: Volitamata muutmise vastu
6. Saadavus: Vastupidav teenuse keelamisele
7. Minimaalne ründepind: Vähendada võimalikke ründevektoreid
8. Intsidendi mõju piiramine: Minimeerida rikkumise tagajärgi

Autentimine ja juurdepääsukontroll

• Tugevad, unikaalsed vaikekasutajatunnused või kasutaja määratud esimesel kasutamisel
• Kaitse jõurünnakute vastu
• Turvalised autentimismehhanismid

Andmekaitse

• Tundlike andmete krüpteeritud salvestus
• Turvaline andmeedastus
• Andmete kustutamine või anonümiseerimine, kui neid enam ei vajata

Haavatavuste käsitlemise nõuded^[3]

Tootjad peavad:

1. Tuvastama haavatavused: Testimise ja jälgimise kaudu
2. Dokumenteerima komponendid: Hooldama tarkvara koostisosade nimekirja (SBOM)
3. Käsitlema haavatavusi: Pakkuma turvauuendusi ilma põhjendamatute viivitusteta
4. Avalikustama haavatavused: Koordineerima mõjutatud osapooltega
5. Turvauuendused: Tasuta uuendused määratletud toe perioodi jooksul (vähemalt 5 aastat)

Haavatavuste aruandlus

Alates 2026. aasta septembrist peavad tootjad teatama:

Vastavushindamine

Tooted peavad kandma CE-märgistust, mis kinnitab vastavust.

Karistused

• Vastavuse puudumine: Kuni 15 miljonit eurot või 2,5% ülemaailmsest käibest
• Oluliste nõuete rikkumine: Kuni 10 miljonit eurot või 2% käibest
• Muud rikkumised: Kuni 5 miljonit eurot või 1% käibest^[4]

Arendaja tegevused

Tarkvara ja riistvara tootjatele:

1. Toodete inventuur: Määrake, millised on kohaldamisalasse kuuluvad ja nende kategooria
2. Turvalisus disainist lähtudes: Integreerige turvalisus arendusprotsessidesse
3. Haavatavuste haldamine: Looge avastamise ja käsitlemise protseduurid
4. SBOM-i loomine: Dokumenteerige tarkvarakomponendid ja sõltuvused
5. Toe planeerimine: Määratlege ja suhtlege toe perioodid
6. Uuenduste mehhanismid: Looge turvalised uuenduste edastamise süsteemid
7. Vastavuse ettevalmistus: Valmistage ette tehniline dokumentatsioon