Ar CRA taikomas jūsų produktui? 5 klausimai, į kuriuos atsakysite per 10 minučių

Dauguma įmonių, pirmą kartą išgirdusių apie CRA (Cyber Resilience Act), neklausia „kokie yra reikalavimai“. Jos klausia „ar tai apskritai liečia mane“. Tai teisingas pirmas klausimas — ir į jį galima atsakyti pakankamai tiksliai neperskaičius viso 71 straipsnio reglamento, jei atsakysite į penkis konkrečius klausimus žemiau.

1. Ar jūsų produktas yra „gaminys su skaitmeniniais elementais“? CRA apibrėžimas yra platus: tai bet kokia aparatinė arba programinė įranga, turinti tiesioginį arba netiesioginį duomenų ryšį su kitu įrenginiu ar tinklu. Tai apima beveik viską, kas turi lustą ir jungiasi prie tinklo — nuo išmaniųjų namų įrenginių iki pramoninės automatikos — bet taip pat ir atskirai parduodamą programinę įrangą, net jei ji neturi savo aparatinės dalies. Jei atsakymas „ne“ — jūsų produktas, tikėtina, visai nepatenka į CRA apibrėžimą.

2. Ar jūsų produktas pateikiamas ES rinkai komercinės veiklos metu? CRA taikoma tik tada, kai produktas pateikiamas rinkai (parduodamas, platinamas, net jei nemokamai) kaip dalis komercinės veiklos. Tai svarbi riba: pavienio entuziasto atvirojo kodo projektas, kuriamas be komercinės struktūros už jo, paprastai nepatenka į apimtį. Bet jei įmonė tą patį projektą platina, palaiko ar monetizuoja (net netiesiogiai, pvz. per paramą ar paslaugų modelį), šis klausimas atsakomas „taip“.

3. Ar tai grynai debesijos (SaaS) paslauga? Čia dažniausiai klysta programinės įrangos įmonės. Grynai SaaS paslaugos, neturinčios atskirai parduodamo komponento, paprastai nepatenka į CRA apimtį. Bet riba nėra absoliuti: jei debesijos komponentas yra neatsiejama kito, atskirai parduodamo produkto dalis (pvz., išmanusis termostatas, kurio pagrindinė funkcija priklauso nuo gamintojo valdomos debesijos paslaugos), visas sprendimas, įskaitant debesijos dalį, gali patekti į apimtį. Bankininkystės programėlė be atskiro aparatinio komponento dažniausiai liktų už CRA ribų (bet gali patekti į kitus reguliavimus); el. knygų skaityklė su savo operacine sistema — aiškus CRA atvejis.

4. Ar jūsų produktui taikoma sektorinė išimtis? CRA neapima produktų, jau išsamiai reguliuojamų kitų konkrečių ES teisės aktų — pvz. medicinos priemonių, aviacijos komponentų, tam tikros automobilių įrangos. Šios išimtys yra siauros ir konkrečios, ne bendra taisyklė „jei jau turime kitą sertifikatą, CRA mums negalioja“. Jei dirbate reguliuojamoje pramonėje, šį klausimą verta patikrinti individualiai, o ne daryti prielaidą.

5. Ar tai nekomercinė atvirojo kodo programinė įranga, kuriama ir prižiūrima be komercinės struktūros? Jei taip — ji, tikėtina, nepatenka į apimtį net jei plačiai naudojama. Bet kai tik atvirojo kodo komponentą į savo produktą integruoja ir parduoda komercinė įmonė, atsakomybė už to komponento saugumą (bent jau SBOM lygmeniu) pereina gamintojui, ne originaliam prižiūrėtojui.

Jei bent į du iš pirmųjų keturių klausimų atsakėte taip, kaip rodo CRA apimtį, — sekantis žingsnis nebe „ar man taikoma“, o „kuriai klasei priklausau“ (standartinė, svarbi ar kritinė), nes nuo to priklauso, koks atitikties vertinimo kelias jūsų laukia. Žemiau esantis testas paverčia šiuos klausimus į interaktyvų įrankį su orientaciniu rezultatu per porą minučių.