Kibernetinio atsparumo aktas (CRA): ką jis reiškia įmonėms, perkančioms programinę įrangą ir įrenginius?
Nuo 2027 m. gruodžio 11 d. daugumai naujai ES rinkai pateikiamų programinės įrangos produktų ir skaitmeninių įrenginių bus taikomi privalomi kibernetinio saugumo reikalavimai. Juos nustato Kibernetinio atsparumo aktas (angl. Cyber Resilience Act, CRA).
Pagrindinės pareigos tenka gamintojams, tačiau pokyčiai svarbūs ir įmonėms, kurios šiuos produktus perka ir naudoja. Ką reglamentas keičia ir į ką verta atkreipti dėmesį jau dabar?
Trumpai
- CRA taikomas daugumai programinės įrangos ir prie tinklo jungiamų įrenginių.
- Saugumo atnaujinimai bus nemokami bent penkerius metus.
- Palaikymo pabaigos datą matysite dar prieš pirkdami.
- Apie aktyviai išnaudojamas spragas gamintojai privalo pranešti jau dabar.
Kas yra Kibernetinio atsparumo aktas (CRA)?
CRA yra ES reglamentas, nustatantis bendrus kibernetinio saugumo reikalavimus produktams su skaitmeniniais elementais. Lietuvoje jis taikomas tiesiogiai.
Jis apima platų produktų spektrą: operacines sistemas, apskaitos programas, mobiliąsias programėles, maršrutizatorius, užkardas, tinklo kameras ir kitus skaitmeninius įrenginius. Įprastos interneto svetainės ir savarankiškai teikiamos debesijos paslaugos savaime į jo taikymo sritį nepatenka.
Svarbiausias pokyčis: produkto saugumu turės būti rūpinamasi nuo projektavimo iki palaikymo pabaigos, o ne tik iškilus problemoms.
Ką CRA keičia jūsų verslui?
1. Saugesni produktai nuo pirmos dienos
Gamintojai turės įvertinti kibernetinio saugumo rizikas dar kurdami produktą ir pateikti jį su saugiais numatytaisiais nustatymais. Įrenginio saugumas neturėtų priklausyti nuo to, ar kas nors prisiminė pakeisti gamyklinį slaptažodį. Saugumo atnaujinimai pagal numatymą turės diegtis automatiškai.
2. Privalomas saugumo palaikymas
Gamintojai turės valdyti pažeidžiamumus ir teikti nemokamas saugumo pataisas visą palaikymo laikotarpį. Jis negali būti trumpesnis nei penkeri metai, nebent produktas skirtas naudoti trumpiau.
Palaikymo pabaigos datą, bent mėnesį ir metus, gamintojas turės nurodyti jau pirkimo metu. Taip įmonės galės iš anksto planuoti įrangos keitimą ir IT išlaidas.
3. Aiškesnė atsakomybė už saugumo spragas
Kiekvienas gamintojas turės sudaryti galimybę pranešti apie produkto pažeidžiamumus ir turėti jų valdymo procesą.
Nuo 2026 m. rugsėjo 11 d. gamintojai privalo pranešti apie aktyviai išnaudojamus pažeidžiamumus ir rimtus incidentus, turinčius įtakos produkto saugumui. Pirmasis pranešimas teikiamas per 24 valandas per ENISA platformą. Ji pranešimą perduoda ir NKSC, kuris Lietuvoje atlieka nacionalinio CSIRT funkcijas. Pareiga galioja ir anksčiau įsigytiems produktams, o paveikti naudotojai turi būti informuoti, kaip apsisaugoti.
4. CE ženklas apims ir kibernetinį saugumą
CRA taikymo sričiai priklausantys produktai turės būti paženklinti CE ženklu. NRD Cyber Security direktorius Vilius Benetis pabrėžė, kad tikrinti atitiktį nėra pirkėjo darbas: produkto be CE ženklo teisėtai parduoti ES nebus galima. Vis dėlto CE ženklas nėra garantija, kad produktas neturi pažeidžiamumų.
Kada CRA reikalavimai pradedami taikyti?
| Data | Kas keičiasi? |
|---|---|
| 2024-12-10 | CRA įsigaliojo. |
| 2026-09-11 | Pradėtos taikyti pareigos pranešti apie aktyviai išnaudojamus pažeidžiamumus ir incidentus. |
| 2027-12-11 | Pradedama taikyti dauguma CRA reikalavimų. |
Spalio 27 d. NKSC renginyje Krašto apsaugos ministerijos atstovė primėnė: 2027 m. gruodžio 11-ąją lentynos nepasipildys vien paženklintais produktais. Reikalavimai taikomi naujai rinkai pateikiamiems produktams, todėl rinka atsinaujins palaipsniui, o visos turimos įrangos keisti nereikės. Jau parduodamiems produktams reikalavimai taikomi tik po esminio pakeitimo.
Ar CRA užtikrins jūsų įmonės kibernetinį saugumą?
Ne. Gamintojo atsakomybė nepakeičia pačios organizacijos atsakomybės.
Net ir CRA reikalavimus atitinkanti programinė įranga gali kelti riziką, jei atnaujinimai nediegiami laiku, netinkamai valdomos darbuotojų prieigos ar nesilaikoma kitų saugumo praktikų.
CRA nepakeičia ir TIS2 (NIS2) reikalavimų. CRA reguliuoja skaitmeninių produktų saugumą, o TIS2 nustato kibernetinio saugumo pareigas tam tikroms organizacijoms.
Ką įmonėms verta padaryti jau dabar?
- Peržiūrėti naudojamus IT sprendimus. Nustatyti, kuriems produktams artėja saugumo palaikymo pabaiga.
- Įtraukti saugumą į pirkimo kriterijus. Prieš įsigyjant išsiaiškinti palaikymo trukmę, atnaujinimų tvarką ir gamintojo saugumo priemones. Produktams, perkamiems po 2027 m. gruodžio 11 d., reikalauti CRA atitikties.
- Įvertinti vidinius procesus. Aiškiai paskirti, kas atsakingas už atnaujinimų diegimą, prieigų valdymą ir reagavimą į pranešimus apie spragas.
Jei programinę įrangą užsakote iš rangovo ir pateikiate klientams savo vardu, CRA prasme gamintoju tampate jūs, tad pareigos tenka jums.
CRA siekia, kad įmonės įsigytų saugesnius skaitmeninius produktus. Ar jie bus naudojami saugiai, priklauso ir nuo pačios organizacijos.
„Cyber Spektras“ padeda įmonėms įvertinti naudojamų IT sprendimų saugumo rizikas, peržiūrėti vidinius saugumo procesus ir pasirengti aktualiems kibernetinio saugumo reikalavimams.
Norite įvertinti savo įmonės kibernetinio saugumo situaciją?
Susisiekite su mumis. Pirmoji konsultacija nemokama ir niekuo neįpareigojanti: cyberspektras.lt/kontaktai/