Vyspělost Cyber Resilience Act · Nařízení (EU) 2024/2847 o kybernetické odolnosti digitálních produktů
Vaše požadavky CRA přepočtené na úrovně vyspělosti, zdokumentované mezery a vyčíslený akční plán.
10 tematických oblastí, škála o 5 úrovních. A akce, díky které postoupíte na další úroveň.
10 tematických oblastí referenčního rámce, již zpracovaných od N1 do N5. Jedna firma, jedna obchodní jednotka, nebo 300 najednou.
Vyspělost Cyber Resilience Act · Nařízení (EU) 2024/2847 o kybernetické odolnosti digitálních produktů
10 tematických oblastí, škála o 5 úrovních.
Nordhavn Industries
53 / 100
Svou vyspělost měří s Datamensio
Příklad
Tato situace by mohla být i vaše.
Vezměme si příklad jedné firmy: tři pobočky, tři excelové tabulky, žádná společná odpověď.
Nikdo neumí konsolidovat.
Nordhavn Industries, 2 400 lidí v Hamburku, Lyonu a Portu. Zadavatel se ptá, jak na tom skupina je. Každá pobočka odpovídá ve své tabulce, s vlastními škálami.
Tři týdny, jedna jediná databáze.
Diagnostika podle Nařízení (EU) 2024/2847 (Cyber Resilience Act) spuštěná na všech třech pobočkách současně, na základě poznámek z rozhovorů s odpovědnými osobami. Referenční rámec už byl napsaný, stejně jako 10 tematických oblastí a úrovně N1 až N5.
Dva výdaje, kterým se předešlo dřív, než vznikly.
Skóre 53 ze 100, mezera soustředěná do tří témat. AI asistent odhalil, že dvě akce plánu se zdvojují s plánem z jiného auditu. Prezentace výsledků pro výbor se připravila jednou větou.
Čemu se tím vyhnuli
- 3pobočky měřené na stejném základě, místo tří dotazníků k přepracování
- 2zdvojené akce odhalené před vznikem výdaje
- 1prezentace výsledků pro výbor, bez ručního dopracování
Tato čísla pocházejí z příkladu. Mohla by být i vaše.
Norma ukládá procesy. Datamensio řekne, kde se nacházíte.
01
Referenční rámec je už napsaný
Tematické oblasti, otázky i úrovně N1 až N5 jsou zpracované. Nezačínáte od prázdné tabulky.
02
Skóre máte ještě tentýž den
Online, přes odkaz na sebehodnocení nebo při rozhovoru. Téma po tématu, srovnatelné v čase.
03
Mezera se stává vyčísleným plánem
Každý přechod na vyšší úroveň má svou akci. Umělá inteligence určuje priority podle očekávaného efektu, ne podle pořadí v normě.
04
Pokrok se dá doložit
Kampaň po kampani, vůči vašemu cíli i vaší minulosti. Přesně to po vás chce vaše představenstvo.
Škála vyspělosti
Jedna úroveň, další úroveň, a akce, která je spojuje.
Právě tento mechanismus (úroveň, vyšší úroveň a akce, která je propojuje) mění zjištění ve skutečnou trajektorii.
Máte aktuální softwarovou nomenklaturu (SBOM) pro produkty, které uvádíte na trh?
- N1
Žádná softwarová nomenklatura neexistuje. Komponenty třetích stran v produktu znají pouze vývojáři, kteří je integrovali.
- N2
Pro některé produkty existují seznamy komponent, sestavené ručně, bez společného formátu a bez aktualizace při každém vydání.
- N3
SBOM se generuje ve standardním formátu pro produkty spadající do rozsahu, aktualizuje se při každé vydané verzi a uchovává se spolu s technickou dokumentací.
- N4
SBOM vytváří automaticky sestavovací řetězec, porovnává se s bezpečnostními bulletiny a při zasažení některé komponenty spouští revizi.
- N5
SBOM pokrývá tranzitivní závislosti i komponenty dodavatelů, s zdokumentovaným sledováním odchylek a pravidelnou revizí pravidel pro přijímání komponent.
Akce pro přechod z úrovně 2 na úroveň 3
Zvolit standardní formát SBOM, zařadit ho do definice výstupu každé vydané verze a ověřovat jeho přítomnost při revizi vydání, s propojením na technickou dokumentaci produktu.
« Díky Datamensio plníme naše cíle mnohem efektivněji. Inspekční služby fondu FEDER i našeho nadřízeného ministerstva tento přístup zvlášť ocenily, protože jim poskytuje spolehlivá data. »
Ředitelka CCI 94CCI Île-de-France
« Považujeme toto řešení za nejvhodnější pro rozšíření našeho transformačního projektu a měření dopadu podle našich potřeb. »
Maja SucekChief Operating Officer, Interreg Danube
Zřídka sám
Referenční rámec se dá kombinovat. Spojte jich víc a pokryjte celou svou činnost, nebo nechte svůj vlastní napsat umělou inteligencí.
Získejte své první měřenína null.
O čem tento referenční rámec je
Cyber Resilience Act, nařízení (EU) 2024/2847, se vztahuje na produkty s digitálními prvky, hardwarové i softwarové, dodávané na trh Unie. Stanovuje základní požadavky na kybernetickou bezpečnost pro návrh, vývoj a výrobu a povinnosti týkající se řešení zranitelností po celou dobu podpory. Ukládá posouzení shody, technickou dokumentaci, EU prohlášení o shodě a označení CE. Zavádí rovněž povinnost oznamovat agentuře ENISA aktivně zneužívané zranitelnosti a závažné incidenty.
Obtížnost nespočívá v přečtení textu, ale ve zjištění, kdo co má dělat. CRA se dotýká vývoje, bezpečnosti produktu, kvality, právního oddělení i podpory, a to často v organizacích, kde byla kybernetická bezpečnost koncipována pro informační systém, nikoli pro prodávaný produkt. Znáte přesný rozsah svých dotčených produktů a jejich klasifikaci? Umíte pro každý z nich vytvořit aktuální softwarovou nomenklaturu? Kdo se dnes zavazuje k období podpory a k distribuci bezpečnostních oprav?
Opakovaně se objevuje jedna záměna: CRA není obdobou NIS 2. NIS 2 se týká bezpečnosti subjektů a jejich systémů, CRA produktů, které firma uvádí na trh. Jedna skupina může být dotčena oběma předpisy, ovšem s odlišnými odpovědnými osobami a odlišnými důkazy. Dalším bodem, na který je třeba dát pozor, je, že nařízení se uplatňuje podle rozloženého harmonogramu, přičemž oznamovací povinnosti nastupují dříve než obecné povinnosti. Pokud se téma řeší jako prosté vyřízení označení CE, odhalí se zásadní úkoly, zejména koordinovaná správa zranitelností, až se zpožděním.
Audit shody končí zjištěním mezery nebo shody, a to produkt po produktu. Diagnostika vyspělosti odpovídá na jinou otázku: na jaké úrovni zvládání se nacházejí vaše postupy bezpečnosti produktu a jaká konkrétní akce vede k vyšší úrovni. Právě to umožňuje řídit program transformace napříč několika řadami produktů a vývojovými týmy, s trajektorií srozumitelnou pro vedení, a ne jen se seznamem požadavků k odškrtání.
V platformě Datamensio je referenční rámec připraven k okamžitému použití a zároveň si ho můžete přizpůsobit. UI upraví tematické oblasti, otázky a úrovně podle vašeho portfolia produktů, nebo vytvoří vlastní verzi na základě vašich vývojových postupů a existující technické dokumentace. Následně zkontroluje odpovědi, upozorní na mezery, které se opakují napříč jednotlivými řadami, a připraví prezentaci výsledků, zatímco rozhodnutí zůstává na vás: každou navrženou akci si můžete ponechat, upravit nebo zcela přepsat, než se zařadí do roadmapy.
Referenční norma: Nařízení (EU) 2024/2847 (Cyber Resilience Act)
Hodnocené tematické oblasti
Rozsah a klasifikace produktů
Inventarizace produktů s digitálními prvky, přijatá role (výrobce, dovozce, distributor), klasifikace podle kategorií nařízení, identifikace kritických produktů.
Základní bezpečnostní požadavky typu security by design
Bezpečnost zohledněná již od návrhu, bezpečná výchozí konfigurace, omezení útočné plochy, ochrana dat a komunikace, řízení přístupu, logování.
Analýza rizik produktu
Posouzení kybernetických rizik podle produktu, dokumentace analýzy, aktualizace podle funkčních změn, zohlednění předpokládaného použití a předvídatelného zneužití.
Softwarová nomenklatura a dodavatelský řetězec
Tvorba a aktualizace SBOM, identifikace komponent třetích stran a open source, hodnocení dodavatelů, sledovatelnost závislostí a dodaných verzí.
Správa zranitelností a koordinované zveřejňování
Kontaktní místo pro hlášení, politika koordinovaného zveřejňování, lhůty řešení, bezpečnostní testy a revize, sledování neopravených zranitelností.
Bezpečnostní aktualizace a období podpory
Stanovení a zveřejnění období podpory, distribuce oprav, oddělení bezpečnostních oprav od funkčních vylepšení, řízení ukončení podpory.
Oznamování zneužitých zranitelností a incidentů
Detekce a kvalifikace, postupy hlášení agentuře ENISA a vnitrostátním orgánům, dodržování lhůt, informování uživatelů, sledovatelnost oznámení.
Posouzení shody a technická dokumentace
Volba postupu posouzení, technická dokumentace, EU prohlášení o shodě, označení CE, případné zapojení notifikované osoby, uchovávání důkazů.
Informování uživatelů
Bezpečnostní pokyny, instrukce pro instalaci a konfiguraci, sdělení období podpory, upozornění a informace o konci životnosti.
Řízení a dohled nad trhem
Rozdělení odpovědností mezi vývoj, bezpečnost, kvalitu a právní oddělení, kompetence v bezpečnosti produktu, řídicí ukazatele, připravenost na žádosti orgánů dohledu nad trhem.
Zkrácená verze referenčního rámce je k dispozici pro online sebehodnocení.
Často kladené otázky
Lze Cyber Resilience Act certifikovat?
Ne ve smyslu dobrovolné certifikace typu ISO. Nařízení ukládá posouzení shody, EU prohlášení o shodě a označení CE, u některých kategorií produktů i zapojení notifikované osoby. Diagnostika Datamensio měří vyspělost vašich postupů a připravuje tyto podklady, nevydává žádné osvědčení.
Jaký je rozdíl mezi touto diagnostikou a auditem shody s CRA?
Audit zkoumá konkrétní produkt a končí zjištěním mezery nebo shody. Diagnostika zařazuje vaše postupy na škálu vyspělosti, podle jednotlivých tematických oblastí, a uvádí akci, která vede k vyšší úrovni. Slouží k nastavení programu před auditem a ke sledování jeho postupu.
Jak dlouho hodnocení trvá?
Krátká verze zabere 20 až 30 minut odpovědnému za bezpečnost produktu. Kompletní verze v kolaborativním režimu obvykle trvá jeden až dva týdny, přičemž většinu času zabere sběr podkladů od vývoje, kvality a podpory.
Lze referenční rámec přizpůsobit našemu portfoliu produktů?
Ano. Otázky, úrovně i tematické oblasti lze upravit a můžete doplnit vlastní interní požadavky. UI vytvoří variantu podle rodiny produktů nebo obchodní jednotky na základě vašich vývojových postupů.
Jak tato diagnostika souvisí s NIS 2 nebo ISO 27001?
NIS 2 a ISO 27001 se týkají organizace a jejích systémů, CRA produktů uváděných na trh. Postupy správy zranitelností a analýzy rizik se částečně překrývají. Průřezová roadmapa umožňuje sloučit více diagnostik bez zdvojování akcí.
Je k zodpovězení potřeba technická odbornost?
Otázky se týkají postupů návrhu, správy zranitelností a dokumentace, nikoli přesných konfigurací. Odpovědět může odpovědný za bezpečnost produktu nebo za kvalitu, přičemž otázky týkající se inženýrství lze zařadit do kolaborativního režimu.
Lze porovnat více produktových řad mezi sebou?
Ano. Stejný referenční rámec lze nasadit napříč více obchodními jednotkami nebo řadami, s porovnáním mezi jednotkami i vůči předchozím hodnocením. Mezery pak napájejí konsolidovanou roadmapu na úrovni celé skupiny.
Kde jsou data uložena?
Ve Francii, u OVH, se zálohou u Scaleway. Žádný přenos mimo Evropskou unii. Použité modely UI lze vybrat, včetně evropských řešení.