EU kiberrezilienciáról szóló jogszabály (EU CRA). Ügyfélnyilatkozat

A EU Cyber Resilience Act (EU CRA) célja a digitális termékek, köztük a szoftverek és az összekapcsolt eszközök biztonságának növelése. A jogszabály világos és egységes szabályokat állapít meg, amelyeket a vállalatoknak ezeknek a termékeknek a forgalomba hozatalakor be kell tartaniuk. Ez a kötelező szabályozás csökkenti a kockázatokat azáltal, hogy előírja a gyártóknak a biztonság beépítését a termékeikbe, valamint a területen azonosított kiberbiztonsági sérülékenységek haladéktalan kezelését. A cél egy biztonságosabb digitális környezet megteremtése mindenki számára azáltal, hogy ösztönzi az alapértelmezetten biztonságos termékek elérhetőségét. Az EU CRA előírja, hogy a gyártók 2027. december 11-től megfelelőségi termékeket hozzanak forgalomba az Európai Unió piacán. A gyártók emellett kötelesek 2026. szeptember 11-től a súlyos incidenseket és az aktívan kihasznált sérülékenységeket jelenteni az illetékes nemzeti hatóságoknak vagy a számítógépes biztonsági incidenskezelő csapatoknak (CSIRT-ek).

Az EU CRA előírja, hogy a digitális elemeket tartalmazó termékeknek (PDE-k), amelyek más eszközökhöz vagy hálózatokhoz kapcsolódnak vagy azokkal kölcsönhatásba lépnek, a tervezés, fejlesztés és gyártás során meg kell felelniük az alapvető kiberbiztonsági követelményeknek. A jogszabály továbbá a termék teljes életciklusa során megköveteli a sérülékenységek kezelését. Az alábbi leírás áttekintést nyújt az EU CRA szerinti fő kötelezettségekről.

Az EU CRA a PDE-ket négy csoportba sorolja a megfelelőségértékelés eltérő szintjeivel: „Common”, „Important Class I”, „Important Class II” és „Critical”. Az „Important” és „Critical” PDE-k szerepelnek a III. mellékletben és a IV. mellékletben. Az „Important” PDE-k (pl. tűzfalak) és a „Critical” PDE-k (pl. Hardware Security Module, Smartcards) kulcsfontosságú kiberbiztonsági funkciókat látnak el, illetve elengedhetetlenek az EU-ban működő kulcsszereplők vagy ellátási láncok számára. Ezek megkövetelik az összehangolt szabványoknak való megfelelést és harmadik fél általi tanúsítást.

A termékek kizárólag akkor szerepelnek a III. mellékletben vagy a IV. mellékletben, ha alapvető funkcióik megfelelnek a meghatározott típusoknak; az összetett termékek, például a gépek, nem öröklik a kritikalitás besorolását. A megfelelőségértékelések közötti különbségek ellenére a termékjellemzőkre vonatkozó alapvető kiberbiztonsági követelmények minden kategóriában azonosak maradnak.