Przygotuj urządzenie na CRA – bez spowalniania rozwoju.
Zamieniamy wymagania cyberbezpieczeństwa w praktyczną inżynierię – od tożsamości i provisioningu urządzeń po bezpieczny firmware i integrację z backendem.
Co CRA oznacza dla producentów urządzeń
Akt w sprawie cyberodporności (CRA) określa zasadnicze wymagania w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi – urządzeń IoT, produktów smart home, sprzętu sieciowego i ich oprogramowania – wprowadzanych na rynek UE. Większość obowiązków ma zastosowanie od 11 grudnia 2027 r.; obowiązek zgłaszania aktywnie wykorzystywanych podatności i poważnych incydentów obowiązuje już od 11 września 2026 r. Za niezgodność grożą kary do 15 mln euro lub 2,5% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa, a organy nadzoru rynku mogą ograniczyć udostępnianie, wycofać lub odzyskać od użytkowników niezgodne produkty.
Dla wielu zespołów wyzwaniem nie jest zrozumienie regulacji, lecz jej poprawne wdrożenie w rzeczywistych systemach.
Gdzie zespoły mają trudności
- Przełożenie wymagań na architekturę urządzenia
- Projektowanie bezpiecznego provisioningu i tożsamości
- Wdrożenie bezpiecznych aktualizacji firmware (OTA)
- Integracja łańcuchów zaufania urządzenia i backendu
- Wzmacnianie firmware produktów już obecnych na rynku
Co robimy
Budujemy inżynierskie fundamenty potrzebne do tworzenia systemów urządzeń zgodnych z CRA.
Obejmuje to:
- Architekturę bezpieczeństwa (tożsamość urządzenia, provisioning, uwierzytelnianie)
- Modelowanie zagrożeń i analizę ryzyka
- Bezpieczny firmware i mechanizmy aktualizacji
- Integrację z backendem i infrastrukturę zaufania
- Procesy produkcyjne i wytwórcze
Dokumentacja inżynierska
Razem z kodem dostarczamy dokumentację inżynierską tego, co budujemy:
- Dokumentacja architektury bezpieczeństwa
- Specyfikacja systemu
- Procesy provisioningu i tożsamości
- Projekt bezpiecznych aktualizacji firmware
- Wymagania integracyjne dla systemów backendowych
- SBOM dla dostarczanego przez nas kodu
Dokumentacja techniczna CRA, SBOM całego produktu i ocena zgodności pozostają obowiązkiem producenta – nie przygotowujemy ich. Nasza dokumentacja opisuje to, co zbudowaliśmy.
Jak pracujemy
- Określamy wymagania i zakres
- Budujemy model zagrożeń
- Projektujemy architekturę bezpieczeństwa
- Implementujemy firmware i procesy
- Dostarczamy kod, dokumentację i przekazujemy projekt
Co otrzymujesz
- Komponenty bezpiecznego firmware gotowe do produkcji
- Przejrzystą, możliwą do audytu architekturę bezpieczeństwa
- Dokumentację inżynierską dostarczonego kodu
- Wytyczne integracyjne dla Twojego backendu i systemów produkcyjnych
Najczęściej zadawane pytania
Czym jest akt w sprawie cyberodporności (CRA) i od kiedy obowiązuje?
Akt w sprawie cyberodporności (CRA, rozporządzenie (UE) 2024/2847) określa zasadnicze wymagania w zakresie cyberbezpieczeństwa dla produktów z elementami cyfrowymi na rynku UE oraz zobowiązuje producentów do obsługi podatności i prowadzenia dokumentacji technicznej. Większość obowiązków ma zastosowanie od 11 grudnia 2027 r. Zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów obowiązuje od 11 września 2026 r. Kary sięgają 15 mln euro lub 2,5% całkowitego rocznego światowego obrotu, w zależności od tego, która kwota jest wyższa, a niezgodne produkty mogą zostać ograniczone, wycofane lub odzyskane od użytkowników.
Kogo dotyczy akt w sprawie cyberodporności?
CRA dotyczy każdego producenta, który wprowadza produkty z elementami cyfrowymi na rynek UE – niezależnie od siedziby firmy – jeśli produkt ma bezpośrednie lub pośrednie połączenie danych z urządzeniem lub siecią. Obejmuje to urządzenia IoT, produkty smart home, sprzęt przemysłowy oraz inny sprzęt i oprogramowanie sieciowe. Niektóre produkty są wyłączone, ponieważ ich cyberbezpieczeństwo regulują już inne przepisy UE: wyroby medyczne i wyroby medyczne do diagnostyki in vitro, pojazdy silnikowe i ich komponenty objęte przepisami o homologacji typu, certyfikowane produkty lotnictwa cywilnego oraz wyposażenie morskie.
Jakiej dokumentacji wymaga CRA?
Załącznik VII do CRA określa minimalną zawartość dokumentacji technicznej, w tym: ogólny opis produktu i jego przeznaczenia; opis projektu i architektury systemu; procesy postępowania z podatnościami, w tym SBOM (Software Bill of Materials), politykę skoordynowanego ujawniania podatności oraz sposób bezpiecznej dystrybucji aktualizacji; ocenę ryzyka w zakresie cyberbezpieczeństwa; informacje uwzględnione przy ustalaniu okresu wsparcia; sprawozdania z badań oraz deklarację zgodności UE. Ocenę ryzyka trzeba aktualizować w okresie wsparcia.
Czym różni się CRA od NIS2?
CRA reguluje produkty: określa wymagania bezpieczeństwa dla sprzętu i oprogramowania, które budujesz i wprowadzasz na rynek UE. NIS2 reguluje organizacje: nakłada obowiązki zarządzania ryzykiem cyberbezpieczeństwa i zgłaszania incydentów na podmioty kluczowe i ważne w sektorach takich jak energetyka, transport, ochrona zdrowia i infrastruktura cyfrowa. Jeśli produkujesz urządzenia IoT na sprzedaż w UE, do Twoich produktów ma zastosowanie właśnie CRA.
Ile kosztuje spełnienie wymagań CRA dla małego producenta IoT?
Zależy to głównie od dwóch rzeczy. Po pierwsze – od tego, kiedy bezpieczeństwo trafia do projektu: wbudowanie tożsamości, secure boot i mechanizmów aktualizacji w architekturę od początku jest znacznie tańsze niż dodawanie ich później, co może oznaczać zmiany w sprzęcie oprócz przeróbki firmware. Po drugie – od klasyfikacji produktu: większość produktów może przejść samoocenę, a niektóre produkty ważne i krytyczne wymagają oceny zgodności przez stronę trzecią. Im wcześniej bezpieczeństwo staje się częścią projektu, tym niższy koszt.
Czy Platanor przygotowuje dokumentację CRA?
Nie. Dokumentację techniczną CRA, SBOM całego produktu, ocenę ryzyka w zakresie cyberbezpieczeństwa i ocenę zgodności przygotowuje producent – my tych dokumentów nie tworzymy. Budujemy same funkcje bezpieczeństwa i dostarczamy je z dokumentacją inżynierską (specyfikacją, architekturą, projektem provisioningu i aktualizacji firmware) oraz SBOM dla kodu, który piszemy.
Przygotowujesz się do CRA?
Zamieniamy wymagania w działające systemy – szybko i poprawnie.