Cyber Resilience Act · 2026/2027

Kas Cyber Resilience Act kohaldub minu tootele?

Autor: Piotr AdamskiTöökorralduse ja turvalisuse ülevaatus: Brillnet C-Team

Teabematerjal. See ei asenda individuaalset õigusnõu ega vastavushindamist.

Kontrolli CRA kohaldamisala ja laadi oma hinnang alla

CRA kohaldatavuse kontroll: ühe toote esialgne hinnang

Vasta neljale küsimusele, et saada ülevaatuse alus ja tõendite kontrollnimekiri. Vastused jäävad sellesse brauserisse; laadi aruanne alla ilma kontota.

See on esialgne kohaldamisala hinnang, mitte õigusnõu ega vastavuse kinnitus. Toote vastutaja peab tulemuse üle vaatama. See ei määra avatud lähtekoodiga tarkvara haldajate konkreetseid kohustusi.

Küsimuste alus: CRA artiklid 2 ja 3

CRA kohaldumist ei määra üksnes ettevõtte tegevusala ega nimetused „SaaS“, „IoT“ või „tarkvaratarnija“. Alusta konkreetsest digitaalsete elementidega tootest, selle ELi turul kättesaadavaks tegemise viisist, organisatsiooni rollist ja kaugandmetöötlusest, mis kuulub toote funktsioonide hulka.

Tulemuseks peaks olema dokumenteeritud kohaldumise hinnang, mille järelduse alus on nähtav — mitte selgituseta jah/ei vastus.

Samm 1. Tuvasta toode

Alusta sellest, mida kasutaja tegelikult ostab, alla laadib, paigaldab, integreerib või komponendina saab.

Salvesta:

  • toote nimi ja identifikaator;
  • versioon või versioonide perekond;
  • sihtotstarve;
  • põhifunktsioonid;
  • tarnemudel;
  • kaubamärk, mille all see turule jõuab;
  • turud, kus see kättesaadavaks tehakse.

Kui meeskond ei suuda toote piiri määratleda, sõltub ülejäänud hinnang eeldustest, mida on hiljem raske üle vaadata.

Samm 2. Kontrolli digitaalsete elementidega toote määratlust

CRA määratleb digitaalsete elementidega toote tarkvara- või riistvaratootena koos selle kaugandmetöötluslahendustega. Määratluse alla võivad kuuluda ka eraldi turule lastud tarkvara- või riistvarakomponendid.

Kaugteenuste puhul on oluline funktsionaalne seos. Määrus kirjeldab kaugandmetöötlust kui eemalt toimuvat töötlemist, mille tarkvara on kavandanud ja arendanud tootja või mis on kavandatud ja arendatud tema vastutusel ning mille puudumisel ei saaks toode täita mõnda oma funktsiooni.

Seetõttu ei piisa kohaldumise kontrolliks väitest „see töötab pilves“. Kaardista esmalt toode ja sõltuvused.

Samm 3. Määra organisatsiooni roll

Asjakohane roll võib olla:

  • tootja;
  • volitatud esindaja;
  • importija;
  • turustaja;
  • muu isik, kes teeb olulise muudatuse ja teeb toote turul kättesaadavaks.

Üks oluline juhtum on importija või turustaja, kes laseb toote turule oma nime või kaubamärgi all või muudab seda oluliselt. CRA alusel võivad sellele isikule siis kehtida tootja kohustused.

Samm 4. Ära jäta juba turul olevaid tooteid tähelepanuta

CRA peamised nõuded kehtivad alates 11. detsembrist 2027, kuid see ei tähenda, et juba turul olevaid tooteid võiks tänaste teavitamiskohustuste puhul eirata.

Artikli 69 lõige 3 sätestab, et artikli 14 teavitamiskohustused kehtivad määruse kohaldamisalasse kuuluvatele digitaalsete elementidega toodetele ka siis, kui need lasti turule enne 11. detsembrit 2027.

Seetõttu on veel kasutuses oleva toote puhul haavatavustest ja intsidentidest teatamise töövoog praegune tegevuslik küsimus.

Samm 5. Kontrolli välistusi ja sektoripõhiseid õigusakte

Ära toetu lühikesele internetiloendile „CRA-st välistatud tegevusalad“. Määrusel on oma kohaldamisala, välistused ja seosed sektoripõhise ELi õigusega.

Põhjendatav protsess on järgmine:

  1. salvesta hindamisel kasutatud õigusnorm ja allikas;
  2. salvesta ülevaatuse kuupäev;
  3. eralda faktid eeldustest;
  4. märgi pädevat õiguslikku ülevaatust vajavad küsimused, selle asemel et muuta ebakindlus kindlaks tootekohta käivaks väiteks.

Kohaldumise hinnangu minimaalne kirje

Väli Mida salvestada
Toode nimi, versioon, identifikaator
Organisatsiooni roll tootja / importija / turustaja / muu
Turg kus toode kättesaadavaks tehakse
Digifunktsioonid tarkvara, riistvara, liidesed, komponendid
Kaugtöötlus mis töötab eemalt ja kas see on toote funktsiooni jaoks vajalik
Alus CRA säte, komisjoni juhised, eeldused
Tulemus tõenäoliselt kohaldub / tõenäoliselt ei kohaldu / vajab põhjalikumat hindamist
Otsuse vastutaja hinnangu heakskiitev inimene
Ülevaatuse kuupäev millal tuleb otsus uuesti läbi vaadata

Millal uuesti hinnata

Kohaldumise hinnang ei tohiks muutuda unustatud PDF-iks. Vaata see uuesti läbi näiteks siis, kui:

  • sihtotstarve muutub;
  • uus kaugteenus muutub toote funktsiooni jaoks vajalikuks;
  • toodet muudetakse oluliselt;
  • turustusmudel või kaubamärk muutub;
  • organisatsioon võtab teise ettevõtja rolli;
  • komisjoni või asutuse uued juhised muudavad otsuse alust.

Kuidas Pulsar hoiab otsuse jälgitavana

Pulsar saab hoida hinnangu alust koos toetavate dokumentidega ning siduda tulemuse riskide, tegevuste ja tõenditega. Väärtus ei ole selgituseta automaatne vastus. Väärtus on võimalus näidata hiljem, mida hinnati, milliseid allikaid kasutati, kes tulemuse heaks kiitis ja millised tegevused järgnesid.

Pulsar ei asenda individuaalset õiguslikku hinnangut.

Vaata, kuidas teha Pulsar GRC-s üks hindamine

Hüpoteetiline portfell, kus müüginimi varjab erinevaid rolle

Ettevõte müüb oma kaubamärgi all võrgujuhtimisseadet, vahendab teise tootja tarkvara ning arendab eraldi mobiilirakendust. Kolm tegevust võivad kasutada sama müügikanalit, kuid organisatsiooni roll ja toote piir on erinevad. Selle näite eesmärk on hinnangu töökorraldust selgitada. Ta ei määra nende toodete lõplikku õiguslikku liigitust.

Võta iga pakkumine eraldi tööobjektiks. Kirjelda, mida kasutaja saab, kes arenduse eest vastutab ning millise nime all pakkumine turule jõuab. Kontrolli lepinguid ja tehnilist dokumentatsiooni koos. Müügitiimi sõna „edasimüük“ ei tõenda turustaja rolli, kui ettevõte muudab toodet või laseb selle välja oma kaubamärgi all. Roll vajab põhjendust tegelike asjaolude järgi.

Tee toote piir lugejale arusaadavaks

Tootekirje peaks näitama tarnitavat riistvara, tarkvara, komponente ja nende funktsioone. Kui osa töötlusest toimub eemalt, lisa kaugfunktsiooni kirjeldus ning arendusvastutus. Ärge asendage seda üksnes pilveteenuse nimega. Sama taristuteenust võib kasutada mitme toote jaoks, kuid hinnang peab näitama konkreetset funktsionaalset seost.

Ka tooteperekond vajab selget piiri. Kui kaks väljaannet erinevad vaid väikeses veaparanduses, võib mõni lähtefakt olla ühine. Kui uus väljaanne lisab välise liidese või muudab sihtotstarvet, võib mõju olla teistsugune. Organisatsioon peaks põhjendama, milliseid väljaandeid üks hinnang katab ja miks. Üks üldine rida kogu ettevõtte kohta muudab selle küsimuse nähtamatuks.

Kontrolli turul kättesaadavaks tegemise asjaolusid

Kirjelda allalaadimist, litsentsimist, seadme müüki, komponendi tarnimist ja muid asjakohaseid viise. Tasuta või tellimuslik mudel ei anna üksi vastust. Samuti ei määra otsust ainult see, kas ettevõte teenib ühel konkreetsel allalaadimisel tulu. Hinnang kasutab kohaldatavaid määratlusi ning organisatsiooni tegelikku tegevust.

Piirkondliku ulatuse puhul salvesta, kus toode kättesaadavaks tehakse. Tehniliselt avatud veebileht ja tegelik turustamine võivad vajada eraldi arutelu. Kui asjaolu pole kinnitatud, märgi see eeldusena ja määra küsimuse vastutaja. Ära kasuta vaikivat oletust selleks, et jõuda kiiresti sobiva lõppstaatuseni.

Välistuse hindamine peab viitama õigele alusele

Kui meeskond leiab võimaliku välistuse, salvestage konkreetne õiguslik alus ja asjaolud, mis seda toetavad. „Meie tegevusala on eriline“ ei ole piisav. Võimalik seos teise ELi õigusaktiga võib puudutada ainult osa toodetest või kindlat kategooriat. Pädev ülevaataja peab hindama tegelikku ulatust.

Ärge kopeerige interneti lühiloendit ettevõtte lõplikuks otsuseks. Kasutage ametlikku määrust, kehtivaid komisjoni juhiseid ja vajaduse korral asjakohast õiguslikku hinnangut. Kui allikad on eri kuupäevadega, säilitage nende kontrollimise aeg ja selgitage, millisele versioonile järeldus tugineb. Artikli töösoovitused ei ole välistuste täielik loetelu.

Juba kasutatav toode vajab tänast otsust

Vanema toote kirjesse lisa teadaolevad väljaanded, alles olev kasutajaskond ning haavatavuste teabe vastuvõtu korraldus. Arhiivi kantud müügipakkumine ei tähenda automaatselt, et toodet enam ei kasutata. Kui meeskond ei tea kasutusel olevaid versioone, on see konkreetne tööpuudus, mis võib mõjutada sündmuse hindamist.

Ärge kasutage peamiste kohustuste tulevast kuupäeva põhjendusena, et praegust teavitamiskohustust ignoreerida. Kontrollige artikli 14 ja üleminekusätete seost konkreetse toote jaoks. Vajaliku reageerimistöö ulatus võib erineda kogu tulevase vastavushindamise programmi ulatusest. Need ülesanded tuleks tegevuskavas eristada, et ajakriitiline küsimus ei jääks pika projekti taha.

Koosta hinnang, mille eeldused on nähtavad

Meie soovitatud otsusekirje eristab kinnitatud fakte, eeldusi ja lahtisi küsimusi. Kinnitatud fakt võib olla tarnitava paketi sisu või lepingus määratud roll. Eeldus võib puudutada veel kontrollimata kasutusotstarvet. Lahtine küsimus võib vajada tehnilist või õiguslikku ülevaatust. Neid kihte ei tohi lõplikus kokkuvõttes üheks kindlaks väiteks sulatada.

Järelduse kõrvale lisa ulatus ja järgmise ülevaatuse päästikud. Hinnang võib katta kindlat arhitektuuri ja turumudelit. Kaubamärgi vahetus, uus kaugfunktsioon või oluline muudatus võib nõuda uut kontrolli. Muudatuse vastutaja peaks teadma, et tema arendus- või müügiotsus võib mõjutada varasemat liigitust.

Kaasa tehniline ja äriline ülevaataja

Arendaja teab komponendi funktsiooni ning tootetiim teab, kuidas see kliendile antakse. Mõlemad on vajalikud. Õiguslik ülevaataja vajab õigeid lähtefakte; ta ei saa ebatäpset arhitektuurikirjeldust ainult õigusnormi lugemisega parandada. Seetõttu peaks kinnitamise protsess kontrollima nii faktimudelit kui ka järelduse alust.

Väikeses ettevõttes võib üks inimene kanda mitut rolli. Säilita siiski, milliseid fakte ta kontrollis ning millise hinnangu heaks kiitis. Vajaduse korral kasuta teist ülevaatajat keerulise küsimuse puhul. Rollide paljusus ei ole eesmärk omaette; eesmärk on tuvastada vastutus ja vältida olulise eelduse kontrollimata jätmist.

Tõendite vastuvõtukriteerium

Toote kirjeldus peab olema ajakohane, versioon tuvastatav ja seotud tegeliku pakkumisega. Leping võib näidata turustamise rolli, kuid ei kirjelda tehnilist kaugseost. Arhitektuuriskeem võib näidata funktsiooni, kuid ei kinnita kaubamärgi või turu asjaolu. Hinnang kasutab nende eri allikate sobivat kooslust.

Kontrolli, kas viited avanevad õigetele ülevaatajatele ning kas ajalooline versioon säilib. Kui veebiallikas muutub, võiks otsuse juures jääda teada kasutatud pealkiri, kuupäev ja asjakohane viide. Kaitstud standardite sisu ei jagata avaliku tõendipaketiga. Kasutusõigused ja ligipääs määratakse organisatsiooni tegelike litsentside järgi.

Vastuvõtukatse ühe muudatusega

Anna hinnang teisele inimesele ja palu tal selgitada, milline toode, roll ja kaugfunktsioon hinnati. Seejärel esita hüpoteetiline muudatus: toode saab uue paigaldatava komponendi. Ülevaataja peab suutma näidata, milline eeldus muutus ning milline otsus vajab uuesti kontrollimist. See proov hindab otsuse kasutatavust, mitte lõpplahenduse õiguslikku õigsust.

Pulsar saab hoida hinnangu allikaid, otsuseid, riske ja järeltegevusi koos. AI võib aidata mustandit koostada, kuid ei kinnita automaatselt kohaldumist. Organisatsioon vastutab tehnilise kirjelduse, pädeva õigusliku hinnangu ning vajalike ametlike toimingute eest. Varajase ligipääsu teenuse funktsioonide ulatus tuleb enne protsessi peale ehitamist üle vaadata.

Kolm tulemust vajavad erinevat järeltegevust

Hinnang võib jõuda tõenäolise kohaldumise, tõenäolise mittekohaldumise või täiendava kontrolli vajaduseni. Need on tööolekud, mitte ametlikud õiguslikud kategooriad. Iga tulemus vajab alust ning selle ulatuse selgitust. Põhjenduseta „ei kohaldu“ võib olla sama probleemne kui põhjenduseta „kohaldub“.

Kui tulemus viitab kohaldumisele, määrake asjakohase tegevuskava omanik ja praeguse teavitamistöö ülevaatus. Kui tulemus viitab mittekohaldumisele, säilitage hinnatud toote piir ja muutuse päästikud. Kui küsimus jääb lahtiseks, määrake vajalik spetsialist, täpne küsimus ja kasutatavad materjalid. Ebakindlus ei tohiks muutuda tähtajatuks staatuseks.

Otsuse osa Hea kirje näide Mida vältida
Fakt tarnitav agent koos kindla versiooniga ettevõtte üldine nimi
Eeldus kaugfunktsiooni vajalikkus vajab katset kinnitamata arhitektuuriväide
Allikas ametlik juhis ja kontrollimise kuupäev otsingutulemuse lühikirjeldus
Ulatus hinnatud konfiguratsioon ja turg kogu portfelli automaatne järeldus
Kinnitus otsuse tegija ja versioon ühine märge ilma vastutajata
Muutus uus paigaldatav element käivitab ülevaatuse unustatud ajalooline PDF

Pärast hinnangu kinnitamist jagage järeldus nendega, kelle töö võib eeldusi muuta. Arendus, müük ja hanked peaksid teadma, millised muudatused vajavad uut küsimust. Kõik ei pea lugema tervet õigusanalüüsi. Neil peab olema konkreetne tegevusjuhis selle kohta, kuidas oluline muutus vastutajani jõuab.

Ärge tõlgendage sisemise tööriista märget välise asutuse heakskiiduna. Pulsaris säilitatud hinnang on organisatsiooni töö ja otsuse jälg. Selle õiguslik ning tehniline sisu vajab pädevat kontrolli sõltumata kasutatud tarkvarast. See piir hoiab tööriista rolli ausana ja aitab vältida põhjendamatut usaldust automaatselt loodud kokkuvõttesse.

Hoia kliendi küsimus ja hinnangu ulatus lahus

Klient võib küsida, kas kogu ettevõte on CRA-ga valmis, kuigi säilinud hinnang puudutab ainult üht toodet ja kindlat tarnemudelit. Vastuse ettevalmistamisel leidke kõigepealt õige otsus ning kontrollige selle piire. Kirjeldage hinnatud toodet, organisatsiooni rolli ja olulisi eeldusi. Ärge muutke piiratud järeldust üldiseks vastavuslubaduseks. Kui küsimus puudutab teist varianti, suunake see täiendavale ülevaatusele, mitte ärge kopeerige varasema vastuse teksti.

Praktiline vastuse kontroll võiks hõlmata ka lepingu ja kasutusjuhendi võrdlust. Mõlemad võivad näidata asjaolu, mida avalik veebileht ei kirjelda. Säilitage vastuse juures kasutatud otsuse versioon ja selle kinnitanud inimene. Hiljem saab organisatsioon näidata, millisele tootele vastus tegelikult viitas. See meetod aitab müügil anda täpse selgituse ning vähendab riski, et tehnilise muudatuse järel kasutatakse endiselt vana järeldust. Tarkvara talletatud hinnang ei muutu selle kaudu välise asutuse kinnituseks.

Seotud juhised

Allikad

Allikad ja kuupäevad üle vaadatud: 2. oktoober 2026.