Ką daryti su produktais, kurie jau yra rinkoje?

Gamintojai su senomis produktų linijomis dažnai klausia: „Ar reikia perprojektuoti produktą, kurį gaminame jau penkerius metus?“ Atsakymas priklauso nuo konkretaus scenarijaus — ir CRA logika čia yra kitokia, nei daugelis tikisi.

Pagrindinė taisyklė — vienetas, ne tipas. CRA reikalavimai iš esmės taikomi kiekvienam naujam produkto vienetui, pateikiamam rinkai po 2027 m. gruodžio 11 d., o ne pačiam produkto „tipui“ ar modeliui apskritai. Tai reiškia, kad produktas, sukurtas gerokai prieš reglamentą, bet toliau gaminamas ir parduodamas, savo naujais vienetais po termino patenka į reikalavimų sritį.

Konkretus pavyzdys: gamintojas turi maršrutizatoriaus modelį, kurio 10 000 vienetų jau parduota prieš 2027 metus, o 5 000 vienetų tebėra sandėlyje, planuojami parduoti vėliau. Jau parduotiems 10 000 vienetų retroaktyvus veiksmas nereikalingas. Bet 5 000 sandėlyje esančių vienetų, kai bus pateikti rinkai po termino, pagal bendrą taisyklę patenka į reikalavimų sritį.

Svarbi išimtis — kai pertvarkyti nebūtina: jei atliktas rizikos vertinimas parodo, kad esama produkto apsauga iš esmės atitinka esminius CRA saugumo reikalavimus, produkto pertvarkyti ar perprojektuoti nebūtina. Užtenka dokumentuoti tą vertinimą ir užtikrinti likusius procesinius reikalavimus — pirmiausia, pranešimo apie pažeidžiamumus procesą ir palaikymo įsipareigojimus.

Kas vis tiek reikalinga net ir „pakankamos apsaugos“ atveju: SBOM dokumentacija (net senam produktui, jei jis toliau parduodamas), aiškus pažeidžiamumų valdymo kontaktinis taškas, ir viešai paskelbtas palaikymo laikotarpis.

Kai rizikos vertinimas parodo realias spragas: tada reikia arba jas pataisyti (jei įmanoma per programinės įrangos atnaujinimą), arba, jei spraga yra aparatinėje dalyje ir nepataisoma, rimtai apsvarstyti, ar verta toliau parduoti tą konkrečią produkto versiją po termino.

Praktinis patarimas gamintojams su plačiu produktų portfeliu: pradėkite nuo inventorizacijos — kurie produktai vis dar aktyviai parduodami ir planuojami parduoti po 2027 metų. Tai iš karto nustato prioritetų tvarką, nes nebūtina vienu metu vertinti kiekvieno kada nors išleisto modelio.