Nuo 2026 m. rugsėjo 11 d. ES taikoma viena griežčiausių kibernetinio saugumo prievolių gamintojams. Kibernetinio atsparumo aktas (CRA, angl. Cyber Resilience Act, Reglamentas (ES) 2024/2847) reikalauja per griežtus terminus pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius saugumo incidentus. Tai nebėra pasiruošimo klausimas – prievolė jau galioja, o ENISA (Europos Sąjungos kibernetinio saugumo agentūros) pranešimų platforma jau veikia. Šiame puslapyje paaiškiname, ką konkrečiai reikalauja CRA 14 straipsnis, kam jis taikomas, kas laukia iki 2027 m. gruodžio ir kaip padedame gamintojams.
Susisiekite dėl CRA pranešimų parengimo
Kas yra Kibernetinio atsparumo aktas (CRA)?
Kibernetinio atsparumo aktas nustato vienodus kibernetinio saugumo reikalavimus visiems produktams su skaitmeniniais elementais, tiekiamiems ES rinkai – nuo IoT (angl. Internet of Things – daiktų interneto) prietaisų ir programinės įrangos iki pramoninės automatikos komponentų ir mašinų valdymo sistemų. Jei produktas turi mikroprocesorių ir gali susisiekti su kitu įrenginiu ar tinklu, jis beveik neabejotinai patenka į reglamento taikymo sritį.
Reglamentas įsigalioja etapais:
- 2026 m. rugsėjo 11 d. – taikoma 14 straipsnio pranešimų prievolė (jau galioja);
- 2027 m. gruodžio 11 d. – taikomi visi esminiai reikalavimai: saugus projektavimas, pažeidžiamumų valdymas, techninė dokumentacija, atitikties vertinimas, palaikymo laikotarpis ir CE ženklinimas.
Ką reikalauja CRA 14 straipsnis: 24/72/14 terminai
14 straipsnis nustato du pranešimo pagrindus: aktyviai išnaudojamą pažeidžiamumą (kai yra patikimų įrodymų, kad juo pasinaudojo piktavalis) ir sunkų saugumo incidentą, darantį poveikį produkto saugumui. Gamintojas privalo laikytis 24/72/14 kadencijos:
- Per 24 valandas nuo sužinojimo – išankstinis įspėjimas (angl. early warning).
- Per 72 valandas – išsamesnis pranešimas su turima informacija ir taikomomis priemonėmis.
- Galutinė ataskaita – dėl pažeidžiamumo ne vėliau kaip per 14 dienų nuo tada, kai tampa prieinama taisomoji priemonė; dėl sunkaus incidento – per vieną mėnesį nuo 72 valandų pranešimo.
Gamintojas taip pat privalo informuoti paveiktus naudotojus. Jei pažeidžiamumas kyla iš integruoto trečiosios šalies ar atvirojo kodo komponento, už pranešimą vis tiek atsako gamintojas. Pagal Europos Komisijos paaiškinimus, apie išnaudojimą, kurį gamintojas žinojo dar iki 2026 m. rugsėjo 11 d., atgaline data pranešti nereikia – tačiau kiekvienas naujas atvejis nuo šios datos jau skaičiuojamas.
Kam taikoma prievolė
Dažna klaida – manyti, kad pranešimų prievolė taikoma tik naujiems produktams. 14 straipsnis taikomas visiems į rinką pateiktiems produktams, įskaitant tuos, kurie buvo išleisti gerokai anksčiau nei 2027 m. gruodžio 11 d. Net prieš kelerius metus parduotas ir nebeatnaujinamas produktas jau dabar turi turėti veikiantį 24 valandų pranešimo pajėgumą. Todėl pasirengimas apima visą aktyvų produktų portfelį, o ne tik naujus leidimus.
ENISA bendroji pranešimų platforma (SRP)
Pranešimai teikiami per vieną elektroninį kanalą – bendrąją pranešimų platformą (SRP, angl. Single Reporting Platform), kurią administruoja ENISA. Platforma veikia nuo 2026 m. rugsėjo 11 d. adresu portal.cra-srp.enisa.europa.eu. Vienu pateikimu pranešimas pasiekia nacionalinę CSIRT (angl. Computer Security Incident Response Team – kompiuterinių incidentų tyrimo tarnybą), o ENISA paprastai gauna informaciją tuo pačiu metu.
Praktinis patarimas: registraciją platformoje ir vidinį pateikimo procesą susitvarkykite dabar, o ne incidento dieną. Per 24 valandas reikia ne tik prisijungti, bet ir surinkti informaciją, priimti sprendimą bei suderinti tekstą.
CRA reikalavimai Lietuvoje
Lietuvoje gamintojų pranešimus gauna NKSC (Nacionalinis kibernetinio saugumo centras), veikiantis kaip nacionalinė CSIRT. Rinkos priežiūrą vykdys tam paskirtos institucijos, koordinuodamos veiksmus su NKSC. Nacionalinis reguliavimas dar tikslinamas, todėl verta sekti NKSC ir ENISA gaires. Neapibrėžtumas nėra pretekstas laukti – atsakomybė turėti veikiantį procesą tenka pačiam gamintojui.
Baudos
Už esminių reikalavimų ir 13–14 straipsnių prievolių pažeidimus CRA numato administracines baudas iki 15 mln. EUR arba iki 2,5 % pasaulinės metinės apyvartos, taikant didesnę sumą. Dar skaudesnė pasekmė – nuo 2027 m. gruodžio neatitinkančio produkto negalima tiekti ES rinkai.
Kaip padedame gamintojams
1. CRA 14 straipsnio pranešimų parengties paketas (4–5 darbo dienos). Fiksuotos apimties paslauga: įvertiname, kurie produktai patenka į reglamento sritį, parengiame pranešimų procesą ir PSIRT (angl. Product Security Incident Response Team – produktų saugumo incidentų reagavimo komandos) veiksmų aprašą, pritaikytą 24/72/14 kadencijai, paskiriame sprendimų teises ir padedame užsiregistruoti ENISA platformoje.
2. Produktų klasifikavimas. Nustatome, ar produktas yra numatytosios kategorijos, svarbus (I ar II klasės) ar ypatingos svarbos. Nuo klasės priklauso atitikties vertinimo procedūra – ar užtenka vidinės kontrolės, ar reikės notifikuotosios įstaigos.
3. SBOM ir pažeidžiamumų valdymas. Negalite pranešti apie tai, ko neaptinkate. Įdiegiame SBOM (angl. Software Bill of Materials – programinės įrangos komponentų sąrašo) generavimą jūsų kūrimo procese, pažeidžiamumų stebėseną, VEX (angl. Vulnerability Exploitability eXchange – pažeidžiamumų išnaudojamumo informacijos) vertinimą ir pažeidžiamumų atskleidimo politiką.
4. Spragų analizė pagal I priedą ir pasirengimas 2027 m. gruodžiui. Palyginame produktą ir kūrimo procesą su CRA esminiais reikalavimais, parengiame techninės dokumentacijos struktūrą ir planą. Kur tinka, remiamės IEC 62443-4-1 ir 4-2 – tai sutaupo daug darbo.
Susisiekite dėl CRA pranešimų parengimo
Kodėl rinktis mus?
- Programuotojo ir auditoriaus požiūris – daugiau nei dešimt metų programinės įrangos kūrimo patirties ir ISO/IEC 27001 vadovaujančiojo auditoriaus metodika.
- IT ir OT (angl. Operational Technology – operacinių technologijų) patirtis – suprantame pramoninius produktus ir aplinką, kurioje jie veikia.
- Procesai, kuriuos valdote patys – SBOM ir pranešimų procesą įdiegiame taip, kad jūsų komanda toliau jį valdytų savarankiškai.
- Skaidrumas – fiksuota apimtis, aiškūs terminai ir konfidencialiai tvarkomi duomenys.
Turime savo programuotojų – kam mums išorės CRA konsultantas?
Programavimo įgūdis nėra tas pats, kas CRA atitikties kompetencija: jūsų inžinieriai kuria produktą, o atitikčiai reikia atskiro darbo su esminiais reikalavimais, technine dokumentacija ir atitikties vertinimo procedūromis. Užuot kelis mėnesius atitraukę vyresniuosius inžinierius nuo produkto, galite pavesti mums vieną kartą sukurti pasikartojantį procesą – SBOM generavimą, pažeidžiamumų valdymą ir 14 straipsnio pranešimus – kurį jūsų komanda toliau valdys savarankiškai. Taip gaunate greitesnį rezultatą, nepriklausomą požiūrį ir mažesnę riziką netekti ES rinkos po 2027 m. gruodžio 11 d.
Dažniausiai užduodami klausimai
Esame mažas gamintojas – ar CRA mums taikomas? Taip. CRA taikomas nepriklausomai nuo įmonės dydžio. Labai mažoms ir mažoms įmonėms numatytos tam tikros lengvatos dėl baudų už pavėluotą 24 valandų pranešimą, tačiau pati prievolė pranešti galioja.
Mūsų produktas jau parduotas ir nebeatnaujinamas. Ką daryti? Pranešimų prievolė jam vis tiek taikoma. Minimaliai turite žinoti, kokie komponentai jame naudojami, turėti kanalą, per kurį gautumėte informaciją apie pažeidžiamumus, ir paskirtą asmenį, kuris per 24 valandas pateiktų įspėjimą.
Kiek laiko užtrunka pasirengimas visiems CRA reikalavimams? Priklauso nuo produktų skaičiaus ir kūrimo proceso brandos. Dažniausiai tai kelių mėnesių projektas, todėl iki 2027 m. gruodžio 11 d. laiko liko mažiau, nei atrodo.
Nelaukite pirmojo incidento
Pranešimų prievolė jau galioja, o pirmasis aktyviai išnaudojamas pažeidžiamumas jūsų produkte gali pasirodyti bet kurią dieną. Jei gaminate produktus su skaitmeniniais elementais, susisiekite dėl nemokamo pirminio taikymo srities įvertinimo: nustatysime, kurios prievolės jums aktualios ir ką būtina padaryti pirmiausia.
Taip pat kviečiame susipažinti su puslapiais IEC 62443 diegimas, Gamyba ir CISO paslaugos.