Продукт называется «критическим» согласно CRA: что необходимо знать, прежде чем цитировать оценку?
Прежде чем предлагать работу, квалифицируйте запрос на оценку соответствия CRA, указав точную версию продукта, категорию приложения, маршрут оценки, файл доказательств и дату выхода на рынок ЕС.
Сигналы для наблюдения
- Указанный продукт и версия программного обеспечения или прошивки связаны с решением о размещении на рынке или выпуске в ЕС.
- Запрашивающий может указать, почему продукт попадает в категорию CRA по умолчанию, важную категорию Приложения III или критическую категорию Приложения IV.
- Предлагаемый маршрут оценки соответствия связан с имеющимися стандартами, потребностями нотифицированного органа и определенным пробелом в доказательствах.
Запрос на оценку соответствия CRA готов к обсуждению только после того, как пять вещей будут объединены в одну запись: точную версию продукта, роль производителя, причину выбора категории продукта, предлагаемый путь оценки и имеющиеся доказательства до принятия следующего решения на рынке ЕС. Если «критический» — это всего лишь прилагательное в сообщении Telegram, не делайте коммерческих предложений по оценке критического продукта. Сначала определите, находится ли продукт в Приложении IV Закона о киберустойчивости (CRA), в классе важных продуктов Приложения III или в категории по умолчанию.
Это рабочая задача для руководителя по развитию бизнеса консалтинговой компании по оценке соответствия продуктов требованиям кибербезопасности, который следит за авторизованными группами Telegram, используемыми производителями устройств, поставщиками программного обеспечения, испытательными лабораториями, специалистами уполномоченных органов и группами по обеспечению соответствия продукции. Полезный сигнал — это не сообщение «Нужна помощь с CRA». Это названный продукт, который приближается к решению о выпуске в ЕС или о размещении на рынке, но его категория, маршрут и доказательства не совпадают. Если вы увидите эту комбинацию с опозданием на день, это может означать, что семинар по оценке или лабораторное задание запланировано с использованием неправильной версии продукта. Он по-прежнему не подтверждает бюджет, правовые рамки или полномочия покупателя.
Начните с записи оценки из пяти строк.
CRA — это Регламент (ЕС) 2024/2847, который устанавливает требования кибербезопасности для продуктов с цифровыми элементами, доступных на рынке Европейского Союза. Оценка соответствия — это процесс, используемый для демонстрации того, что применимые требования выполнены. В соответствии с объяснение оценки соответствия Комиссии большинство продуктов остаются в категории по умолчанию, где разрешена самооценка производителя. Важные продукты, указанные в Приложении III, и критически важные продукты, указанные в Приложении IV, проходят более строгие маршруты.
Прежде чем спрашивать технического оценщика о усилиях или доступности, запишите эти пять строк:
- Продукт: коммерческое название, модель, версия аппаратного обеспечения, версия программного обеспечения или встроенного ПО, назначение и поставляемые компоненты.
- Роль: лицо, действующее в качестве производителя, а также любой импортер, дистрибьютор или управляющий программным обеспечением с открытым исходным кодом, имеющий отношение к запросу.
- Основа категории: по умолчанию, Приложение III класса I или II или Приложение IV, с точной указанной категорией и фактами о продукте, использованными для ее достижения.
- Маршрут и доказательства: предлагаемая процедура, применяемые стандарты или спецификации, статус уполномоченного органа и текущие артефакты технических файлов.
- Дата решения:, что произойдет, с какой версией, на каком рынке ЕС, и касается ли дата выпуска, размещения на рынке или внутреннего дизайна.
Эта запись представляет собой оригинальный метод принятия решения по классу доказательств в статье. Это не решает вопросы соблюдения. Это не позволяет коммерческому предложению молча принять на себя ту самую категорию и доказательства, которые, возможно, потребуется установить в рамках соглашения.
Заморозьте продукт, прежде чем обсуждать его класс.
«Промышленный межсетевой экран» или «безопасный шлюз» не являются записью продукта. Шлюз, продаваемый с двумя сборками операционной системы, может предоставлять разные функции и компоненты. Программный продукт, развернутый как отдельное приложение, может не быть тем же объектом оценки, что и код, встроенный в устройство. Аксессуары и отдельно продаваемые компоненты также могут изменить границы.
Спросите, какая конфигурация будет иметь декларацию соответствия ЕС и маркировку CE. Затем зафиксируйте поставляемую версию, предполагаемое назначение, зависимости удаленной обработки, а также аппаратные или программные компоненты, необходимые для выполнения продуктом своих функций. Если запрашивающий не может назвать этот объект, первым результатом будет работа по классификации; коммерческое предложение с фиксированной оценкой было бы преждевременным.
В то же время важна роль производителя. Торговый посредник, запрашивающий от имени поставщика, импортер, готовящий файл, и производитель, контролирующий дизайн продукта, не имеют одних и тех же доказательств или деклараций. Автор Telegram может знать крайний срок, но не иметь полномочий публиковать техническую документацию. Держите эти полномочия в тайне, пока кто-нибудь не подтвердит их.
Замените слово «критический» записью в Приложении и фактами о продукте.
Продукт может иметь жизненно важное значение для деятельности клиента, не являясь при этом CRA «критическим продуктом с цифровыми элементами». Правовая категория взята из Приложения IV. В приложении III отдельно перечислены важные продукты и разделены их на класс I и класс II. Категория по умолчанию охватывает другие продукты, входящие в область действия.
Для каждого классификационного утверждения напишите два предложения. Первый называет точную категорию Приложений, на которую полагаются. Во втором указывается, какие функции продукта позволяют описываемой версии соответствовать этой категории. Если какое-либо предложение отсутствует, запишите класс как предложенный, а не как подтвержденный.
Например, во фрагменте составной группы может быть указано: «Безопасный элемент, CRA критический, требует оценки перед выпуском». Это намеренно неполное сообщение и не является сообщением для клиента. В нем не упоминается модель продукта, поставляемая функция, является ли безопасный элемент продаваемым продуктом или одним компонентом, производитель, анализ Приложения, действующие стандарты, имеющиеся доказательства и событие выпуска. Это заслуживает вопроса, а не критически важного предложения.
Выбирайте маршрут только после того, как будет указана категория.
Комиссия описывает пути с практической точки зрения: продукты категории по умолчанию могут использовать самооценку производителя, в то время как важные и критические категории требуют более тщательного применения решения статьи 32. Класс Приложения III, использование применимых гармонизированных стандартов или общих спецификаций, а также любая квалификационная схема сертификации влияют на доступность маршрута. Для продуктов Приложения IV применимая европейская схема сертификации кибербезопасности может обеспечить маршрут в соответствии с условиями Регламента; без такового Регламент указывает на проверку типа ЕС плюс соответствие типу или полную гарантию качества — процедуры третьей стороны с участием нотифицированного органа. обязательный Регламент, включая Статью 32 и Приложение VIII, регулирует фактический маршрут.
Это означает, что «мы будем использовать стандарт» — это еще не путь. Укажите, какие применимые требования она охватывает, доступна ли стандартная или общая спецификация и применяется ли она в полном объеме там, где от нее зависит маршрут, а также то, что остается за ее пределами. Если предлагается нотифицированный орган, укажите его или, по крайней мере, требуемую область назначения и статус доступности. Коммерческий руководитель не должен обещать встречу, которая не была подтверждена.
Не превращайте возможную схему сертификации в текущий ярлык. На дату фактического принятия рыночного решения проверьте применимую схему, уровень обеспечения, действия по реализации или делегированию, охват продукта и непокрытые требования CRA. Аналогично, не обещайте назначение нотифицированного органа до тех пор, пока не будут подтверждены объем назначения и доступность.
Превратите технический файл в опись доказательств
Общий вопрос, например «Есть ли у вас технический файл?» предлагает широкое «да». Вместо этого запросите артефакты, которые поддерживают этот продукт и маршрут: описание продукта и архитектуру, оценку рисков кибербезопасности, сопоставление применимых требований, записи безопасной разработки и обработки уязвимостей, решение о периоде поддержки, доказательства испытаний, анализ стандартов, информацию о компонентах и материалы проекта декларации, если таковые имеются.
Для каждого артефакта запишите четыре состояния: присутствует для оцененной версии, присутствует для другой версии, отсутствует или еще не проверено. Затем добавьте владельца и исходное местоположение. Отчет о тестировании на проникновение может быть полезным доказательством, не охватывая процесс разработки, механизм обновления или обработку уязвимостей. Более ранний отчет о кибербезопасности радиооборудования может служить основой для технического анализа без определения категории или маршрута CRA.
Различие между доказательствами RED, EN 18031 и CRA рассматривается в статья ЕС о маршрутизации источников безопасности продуктов. Для отдельного рабочего процесса отчетности об уязвимостях, который начнет применяться ранее, используйте анализ запроса на отчетность CRA. Это смежные вопросы, а не заменяющие данный отчет о соответствии.
Свяжите предложение с реальным решением по продукту
CRA обычно применяется с 11 декабря 2027 года, хотя некоторые положения применяются раньше. Поэтому дата в запросе требует события, а не просто «до CRA». Спросите, замораживает ли команда дизайн, заказывает тестирование, меняет поставщика, готовит размещение на рынке ЕС или обновляет уже продаваемый продукт. Спросите, какую версию охватывает событие и кто может предоставить доказательства.
Задание готово к масштабному обсуждению, когда известны границы продукта и дата принятия решения, категория поддерживается или классификация явно является частью работы, маршрут кандидата указан с предположениями, а инвентаризация доказательств выявляет проверяемые пробелы. Сохраняйте коммерческое предложение, когда в запросе смешиваются несколько версий, рассматривается «критическое» как неподдерживаемая метка или предполагается наличие слота для тела уведомления. Отклоняйте работу или передайте ее, если запрашивающая сторона не может разрешить доступ к необходимым записям.
TOP Prospect может соединять фрагменты из групп Telegram, которые пользователь намеренно подключает и имеет к ним доступ, сохранять исходный текст, источник и время, объединять дубликаты и ранжировать ветку для проверки человеком. Он не может классифицировать продукт, проверять технический файл, выбирать законный маршрут, подтверждать уполномоченный орган, связываться с запрашивающим или сертифицировать соответствие. Если открытие авторизованной группы позже станет частью обсуждения покупки, страница цен описывает общедоступные варианты продукта.
Готовое коммерческое примечание должно сделать одну неопределенность видимой, а не скрыть ее: «Критический продукт» — это либо подтвержденная классификация согласно Приложению IV, задача классификации в рамках предлагаемого задания, либо непроверенная фраза, по которой не готова цена.
FAQ
Делает ли продукт критическим для безопасности продукт CRA?
Нет. Критически важные продукты с цифровыми элементами относятся к категориям, перечисленным в Приложении IV. Обычная важность безопасности не устанавливает эту категорию.
Требуется ли для каждого продукта CRA уполномоченный орган?
Нет. В категории по умолчанию может использоваться самооценка производителя. Маршруты приложения III зависят от класса и использования применимых стандартов, спецификаций или схем сертификации. Приложение IV соответствует Статье 32: маршрут может обеспечиваться применимой схемой сертификации кибербезопасности ЕС; без него применяются сторонние процедуры.
Что входит в первый запрос на оценку?
Точный продукт и версия, роль производителя, предполагаемое назначение и функции, заявленная категория и основа, предлагаемый маршрут, используемые стандарты, текущий перечень доказательств и датированное решение рынка ЕС.
Может ли отчет EN 18031 доказать соответствие CRA?
Нет. Оно может предоставить соответствующие ограниченные технические доказательства, но само по себе не устанавливаетCRAобласть действия, категория, маршрут соответствия или все обязательства жизненного цикла.
Часто задаваемые вопросы
Делает ли продукт критическим для безопасности продукт CRA?
Нет. Критически важные продукты с цифровыми элементами относятся к категориям, перечисленным в Приложении IV Регламента (ЕС) 2024/2847. Важность безопасности на обычном языке не устанавливает эту юридическую категорию.
Требуется ли для каждого продукта CRA уполномоченный орган?
Нет. В категории по умолчанию может использоваться самооценка производителя. Маршруты по Приложению III зависят от класса и того, как используются применимые стандарты, спецификации или схемы сертификации. Приложение IV соответствует Статье 32: маршрут может обеспечиваться применимой схемой сертификации кибербезопасности ЕС; без него Регламент отправляет продукт через сторонние процедуры соответствия.
Что необходимо собрать, прежде чем запросить предложение по оценке?
Соберите точную информацию о продукте и версии, роли производителя и экономического оператора, предполагаемом назначении и функциях, заявленной категории Приложения, предлагаемом маршруте оценки, используемых стандартах или спецификациях, текущих технических данных и датированном решении рынка ЕС.
Может ли отчет EN 18031 подтвердить соответствие CRA?
Нет. Он может предоставить соответствующие технические доказательства для покрываемого продукта и требований, но это не так. само по себе не решает объем CRA, категорию продукта, маршрут соответствия или все обязательства жизненного цикла.
Источники и дополнительное чтение
Как обнаруживается Signal, заслуживающий внимания
Методика показывает, как Top Prospect находит и упорядочивает Signals, которые стоит проверить, сохраняет исходный контекст Telegram, удаляет дубли и помогает определить порядок просмотра. Решение о дальнейших действиях остаётся за вами.
