- Acasă
- Conformitate
- Cyber Resilience Act pentru producătorii de software
Cyber Resilience Act pentru producătorii de software
Vindeți software în UE? Acum trebuie să dovediți că îl puteți actualiza.
Cyber Resilience Act stabilește reguli de securitate pentru produsele cu elemente digitale vândute în UE. NIS2 privește felul în care vă conduceți firma. CRA privește ce livrați clienților, indiferent dacă vă considerați sau nu o firmă de securitate.
Testul rapid: dacă produsul conține software sau se conectează la o rețea și îl vindeți în Europa, aproape sigur intrați sub CRA.
Lucrăm din 2004 pentru sectorul public, energie și industria grea: clienți care își verifică furnizorii înainte să semneze. Vedeți studiile de caz.
Se aplică etapizat, întâi obligațiile de raportare. Verificați textul consolidat din Jurnalul Oficial pentru datele aplicabile categoriei dumneavoastră de produs, înainte să planificați. Pagina explică mecanismul și nu este consultanță juridică.
Ce trebuie să puteți face
- Să livrați fără vulnerabilități exploatabile cunoscute, cu setări implicite sigure.
- Să produceți un SBOM: lista completă a bibliotecilor și versiunilor din produs.
- Să gestionați vulnerabilitățile: să le găsiți, să le reparați și să duceți remedierea la clienți pe toată perioada de suport.
- Să raportați vulnerabilitățile exploatate activ și incidentele grave, în termene scurte.
- Să primiți sesizări din afară printr-un canal de divulgare care chiar răspunde.
- Să declarați o perioadă de suport clientului, la vânzare.
Întrebarea care decide
Apare o vulnerabilitate într-o bibliotecă pe care o folosiți. În cât timp puteți spune dacă sunteți afectați, ce clienți sunt afectați și cât de repede îi actualizați?
Dacă răspunsul este „câteva zile în care cineva caută prin repository-uri”, nu aveți un proces CRA. Rar se pică pe cerințe. Se pică pentru că dedesubt nu există niciun sistem.
Unde se rupe de obicei
- Un SBOM făcut de mână o dată, pentru audit, depășit a doua zi
- Nimeni nu urmărește vulnerabilitățile componentelor livrate
- Nicio evidență a versiunii instalate la fiecare client
- Niciun mod rapid de a trimite o actualizare de securitate tuturor
- Termene de raportare ratate pentru că nu se știe cine decide
Ce construim
Automatizat
- SBOM generat în procesul de build, la fiecare versiune
- Verificarea continuă a vulnerabilităților publicate față de SBOM
- Alerte doar când un produs livrat e chiar afectat
- Registrul versiunilor instalate, pe client
- Un canal funcțional pentru actualizările de securitate
Documentat
- Procedura de gestionare și divulgare coordonată a vulnerabilităților
- Fluxul de raportare, cu decidenți numiți
- Documentația tehnică a produsului
- Politica de suport și actualizări
- Instruirea echipei de dezvoltare
Vă aduce și contracte
Clienții aflați sub NIS2 trebuie să vă evalueze ca furnizor. Un proces CRA funcțional le dă exact ce cer chestionarele: SBOM, politică de vulnerabilități, perioadă de suport, canal de raportare.
Răspundeți într-o zi. Concurenții fără un astfel de proces se blochează trei săptămâni și ies de pe lista scurtă.
Dacă produsul conține AI
Regulile se cumulează. Un produs conectat cu o componentă AI poate intra și sub CRA, și sub AI Act, fiecare cu documentația ei. Modelele și bibliotecile de inferență intră în SBOM ca orice altă dependență. Versiunea de model devine parte din configurația pe care trebuie să o controlați.
Aflați într-o zi unde stați
Generați un SBOM pentru produsul principal și numărați vulnerabilitățile cunoscute din el. Durează cam o zi și e, de obicei, o discuție serioasă cu programatorii. Apoi programați o discuție cu noi și vedem împreună ce ar rezista și ce nu din procesul actual de release.
Întrebări frecvente
Ce este un SBOM și de ce îmi trebuie?
Software Bill of Materials: lista completă a componentelor și bibliotecilor din produsul dumneavoastră, cu versiuni. Fără ea nu puteți răspunde rapid la întrebarea care contează într-un incident: sunt afectat de această vulnerabilitate?
Se aplică și software-ului intern?
Regulamentul vizează produsele cu elemente digitale puse la dispoziție pe piață. Software-ul folosit strict intern are un regim diferit, dar practicile de gestionare a vulnerabilităților rămân relevante pentru NIS2.
Aflați în 30 de minute dacă merită.
Povestiți-ne un proces care vă mănâncă săptămâna echipei. Vă spunem pe loc dacă un agent îl poate prelua, cât costă aproximativ și cât economisiți. Dacă nu merită, vă spunem direct.