Khách hàng điển hình
Một doanh nghiệp vừa và nhỏ tại Đức, Áo hoặc Thụy Sĩ với 10 đến 250 nhân viên, cung cấp phần mềm hoặc thiết bị kết nối của mình trên thị trường EU: chế tạo máy và thiết bị, hệ thống điều khiển, cảm biến, kỹ thuật toà nhà, hoặc phần mềm chuyên ngành cài đặt tại khách hàng. Doanh nghiệp không có bộ phận bảo mật riêng, và câu hỏi về CRA đến từ bộ phận bán hàng hoặc từ một khách hàng lớn.
CRA yêu cầu gì
Từ ngày 11 tháng 9 năm 2026, nghĩa vụ báo cáo có hiệu lực: cảnh báo sớm trong 24 giờ, thông báo trong 72 giờ và báo cáo cuối cùng, kể cả với sản phẩm đã có mặt trên thị trường. Từ ngày 11 tháng 12 năm 2027, các nghĩa vụ về sản phẩm được bổ sung: bảo mật ngay từ thiết kế và mặc định, không có lỗ hổng đã biết có thể khai thác khi phát hành, cập nhật bảo mật trong thời gian hỗ trợ đã công bố, danh mục thành phần phần mềm (SBOM), chính sách công bố lỗ hổng, đánh giá sự phù hợp và dấu CE.
Bạn có gì sau hai tuần
Phân loại sản phẩm của bạn và con đường đánh giá: tự đánh giá hoặc qua tổ chức được chỉ định. SBOM của bản phát hành hiện tại ở định dạng CycloneDX và SPDX, đối chiếu với các lỗ hổng đã biết. Phân tích khoảng trống theo Phụ lục I với phát hiện và bằng chứng cho từng yêu cầu. Quy trình báo cáo 24 và 72 giờ đã được diễn tập, chính sách công bố lỗ hổng kèm security.txt sẵn sàng công bố, và kế hoạch hành động đến tháng 12 năm 2027 với giá cố định.
Kiểm tra bằng công cụ chúng tôi tự vận hành
Chúng tôi kiểm tra bằng chính chuỗi cung ứng mà nền tảng của chúng tôi đang chạy. Mọi gói và mọi image được quét bằng Trivy và Grype, SBOM được tạo ở định dạng CycloneDX và SPDX, và phiên bản gói mới chỉ được phép dùng sau một thời gian chờ. Renovate giữ cho các phụ thuộc luôn cập nhật, Kubescape kiểm tra vận hành theo các tiêu chuẩn bảo mật, và security.txt của chúng tôi đang hoạt động. Chúng tôi theo dõi các phát hiện trong ClearSky, với mức độ nghiêm trọng, người phụ trách và trạng thái.
Hai tuần, hai buổi họp
Ngày 1: khởi động
90 phút về sản phẩm, thị trường và chuỗi cung ứng. Kết quả: phân loại sản phẩm của bạn.
Ngày 2 đến 8: phân tích và quy trình báo cáo
SBOM từ bản phát hành của bạn, đối chiếu với lỗ hổng đã biết, phân tích khoảng trống theo Phụ lục I, soạn thảo và diễn tập quy trình báo cáo.
Ngày 9 và 10: bàn giao
90 phút về toàn bộ kết quả và kế hoạch hành động đến tháng 12 năm 2027.
Câu hỏi thường gặp
CRA có áp dụng cho chúng tôi là doanh nghiệp Thụy Sĩ không?
Có, nếu bạn cung cấp sản phẩm có yếu tố kỹ thuật số tại EU. Điều quyết định là thị trường, không phải trụ sở công ty. Với doanh nghiệp tại Đức và Áo, đạo luật đương nhiên áp dụng.
Chúng tôi là doanh nghiệp nhỏ. Có ưu đãi nào không?
Doanh nghiệp siêu nhỏ và nhỏ không bị phạt khi lỡ thời hạn 24 giờ. Các nghĩa vụ khác vẫn giữ nguyên.
Dịch vụ thuần đám mây có thuộc phạm vi không?
SaaS thuần không có sản phẩm giao cho khách thường không thuộc phạm vi. Nếu một chức năng đám mây là một phần của sản phẩm, chẳng hạn điều khiển thiết bị, thì nó cũng thuộc phạm vi. Chúng tôi làm rõ điều này ngay ngày đầu tiên.
Bài kiểm tra có thay thế đánh giá sự phù hợp không?
Không. Chúng tôi không phải tổ chức được chỉ định và không tư vấn pháp lý. Chúng tôi chuẩn bị để việc đánh giá diễn ra không có bất ngờ.