FAQ: Jakich wymagań CRA nie obejmuje żadna norma?

Krótka odpowiedź

Pięć rzeczy. Bez względu na to, którą normę stosujesz (EN 303 645, IEC 62443, ISO 27001), Akt o cyberodporności (CRA) nakłada obowiązki, których nie ma w żadnej z nich. Dobra wiadomość: wszystkie są procedurami operacyjnymi, a nie wyzwaniami inżynieryjnymi.

Długa odpowiedź

Pięć wymagań, które występują tylko w CRA

Zgłaszanie podatności do ENISA w ciągu 24/72 h - powiadomienie w ciągu 24 godzin od wykrycia aktywnie wykorzystywanej podatności, pełne zgłoszenie w ciągu 72 godzin. ISO 27001 obejmuje zarządzanie incydentami, ale tylko wewnętrzne. Tutaj chodzi o zgłoszenie do konkretnego organu UE w sztywnym terminie. Obowiązuje od września 2026 r.
Zestawienie komponentów oprogramowania (SBOM) - lista komponentów Twojego produktu w formacie nadającym się do odczytu maszynowego, obejmująca co najmniej zależności najwyższego poziomu. Żadna istniejąca norma tego nie wymaga.
Deklarowany okres wsparcia - publiczne zobowiązanie do okresu wsparcia (co najmniej 5 lat lub cały okres użytkowania produktu, w zależności od tego, który jest krótszy) z gwarancją aktualizacji zabezpieczeń przez cały ten czas.
Deklaracja zgodności UE + oznakowanie CE - formalna deklaracja i oznakowanie CE na produkcie (lub na stronie internetowej w przypadku oprogramowania). To krok formalny, a nie techniczny.
Nadzór po wprowadzeniu do obrotu - stała współpraca z organami nadzoru rynku, w tym wycofanie produktu, jeśli podatność narusza zgodność.

Dlaczego to ważne

Jeśli masz już certyfikację ISO 27001 i normy produktowej (EN 303 645 lub IEC 62443), masz za sobą ok. 90% pracy. Te pięć luk to wszystko, co zostało, i żadna z nich nie wymaga przebudowy architektury produktu.