Підготуйте пристрій до CRA, не сповільнюючи розробку.
Ми перетворюємо вимоги з кібербезпеки на практичну інженерію: від ідентичності та provisioning пристроїв до захищеної прошивки та інтеграції з бекендом.
Що CRA означає для виробників пристроїв
Акт ЄС про кіберстійкість (CRA) встановлює основні вимоги з кібербезпеки до продуктів із цифровими елементами — IoT-пристроїв, продуктів розумного дому, підключеної електроніки та їхнього програмного забезпечення, — що розміщуються на ринку ЄС. Більшість обов'язків застосовується з 11 грудня 2027 року; обов'язок повідомляти про активно експлуатовані вразливості та серйозні інциденти діє вже з 11 вересня 2026 року. За невиконання вимог передбачено штрафи до 15 млн євро або 2,5% світового річного обороту, залежно від того, що більше, а органи ринкового нагляду можуть обмежити продаж, вилучити або відкликати продукт.
Для багатьох команд складність не в тому, щоб зрозуміти регламент, а в тому, щоб правильно реалізувати його в реальних системах.
Де команди стикаються з труднощами
- Перетворення вимог на архітектуру пристрою
- Проєктування захищеного provisioning та ідентичності
- Реалізація захищених оновлень прошивки (OTA)
- Інтеграція ланцюжків довіри пристрою та бекенду
- Посилення безпеки прошивки продуктів, які вже на ринку
Що ми робимо
Ми створюємо інженерну основу, потрібну для систем пристроїв, що відповідають CRA.
Це включає:
- Архітектуру безпеки (ідентичність пристрою, provisioning, автентифікація)
- Моделювання загроз та аналіз ризиків
- Захищену прошивку та механізми оновлення
- Інтеграцію з бекендом та інфраструктуру довіри
- Процеси виробництва та серійного випуску
Інженерна документація
Разом із кодом ми передаємо інженерну документацію до того, що будуємо:
- Документація архітектури безпеки
- Специфікація системи
- Процеси provisioning та ідентичності
- Проєкт захищеного оновлення прошивки
- Вимоги до інтеграції з бекенд-системами
- SBOM для коду, який ми передаємо
Технічна документація за CRA, SBOM усього продукту та оцінка відповідності залишаються відповідальністю виробника — ми їх не готуємо. Наша документація описує те, що ми збудували.
Як ми працюємо
- Визначаємо вимоги та обсяг
- Будуємо модель загроз
- Проєктуємо архітектуру безпеки
- Реалізуємо прошивку та процеси
- Передаємо код, документацію та проєкт
Що ви отримуєте
- Готові до виробництва компоненти захищеної прошивки
- Зрозумілу архітектуру безпеки, яку можна перевірити
- Інженерну документацію до переданого коду
- Рекомендації з інтеграції для вашого бекенду та виробничих систем
Поширені запитання
Що таке Акт ЄС про кіберстійкість (CRA) і коли він застосовується?
Акт ЄС про кіберстійкість (CRA, Регламент (ЄС) 2024/2847) встановлює основні вимоги з кібербезпеки до продуктів із цифровими елементами на ринку ЄС і зобов'язує виробників обробляти вразливості та вести технічну документацію. Більшість обов'язків застосовується з 11 грудня 2027 року. Повідомлення про активно експлуатовані вразливості та серйозні інциденти — з 11 вересня 2026 року. Штрафи сягають 15 млн євро або 2,5% світового річного обороту, залежно від того, що більше, а невідповідні продукти можуть обмежити в продажу, вилучити або відкликати.
На кого поширюється Акт про кіберстійкість?
CRA поширюється на будь-якого виробника, який розміщує продукти з цифровими елементами на ринку ЄС, незалежно від того, де зареєстрована компанія, якщо продукт має пряме чи непряме підключення до пристрою або мережі. Це IoT-пристрої, продукти розумного дому, промислове обладнання та інше підключене залізо й програмне забезпечення. Деякі продукти виключені, бо їхню кібербезпеку вже регулюють інші правила ЄС: медичні вироби та вироби для діагностики in vitro, транспортні засоби та їхні компоненти за правилами type-approval, сертифіковані продукти цивільної авіації та морське обладнання.
Яку документацію вимагає CRA?
Додаток VII CRA визначає мінімальний склад технічної документації, зокрема: загальний опис продукту та його призначення; опис проєктування та архітектури системи; процеси обробки вразливостей, включно з Software Bill of Materials (SBOM), політикою координованого розкриття вразливостей і тим, як захищено доставляються оновлення безпеки; оцінку ризиків кібербезпеки; інформацію, на основі якої визначено період підтримки; звіти про тестування; декларацію відповідності ЄС. Оцінку ризиків треба оновлювати протягом періоду підтримки.
Яка різниця між CRA і NIS2?
CRA регулює продукти: він встановлює вимоги безпеки до заліза й програмного забезпечення, яке ви розробляєте та розміщуєте на ринку ЄС. NIS2 регулює організації: він встановлює обов'язки з управління ризиками кібербезпеки та звітування про інциденти для суттєвих і важливих суб'єктів у секторах як-от енергетика, транспорт, охорона здоров'я та цифрова інфраструктура. Якщо ви виробляєте IoT-пристрої для продажу в ЄС, до ваших продуктів застосовується саме CRA.
Скільки коштує виконання вимог CRA для невеликого виробника IoT?
Головне залежить від двох речей. По-перше, від того, коли закладається безпека: вбудувати ідентичність, secure boot і механізми оновлення в архітектуру від початку значно дешевше, ніж додавати їх постфактум, — це може вимагати змін у залізі на додачу до переробки прошивки. По-друге, від класифікації продукту: більшість продуктів можуть пройти самооцінку, а для деяких важливих і критичних продуктів потрібна оцінка відповідності третьою стороною. Що раніше безпека стає частиною дизайну, то менша вартість.
Чи готує Platanor документацію під CRA?
Ні. Технічну документацію за CRA, SBOM усього продукту, оцінку ризиків кібербезпеки та оцінку відповідності готує виробник, і цих документів ми не робимо. Ми будуємо самі функції безпеки та передаємо їх з інженерною документацією (специфікацією, архітектурою, проєктом provisioning та оновлення прошивки) і SBOM для коду, який пишемо.
Готуєтеся до CRA?
Ми перетворюємо вимоги на робочі системи — швидко й правильно.