Основните текстове на Регламент (ЕС) 2024/2847 се прилагат от 11 декември 2027 г.
Регламент (ЕС) 2024/2847 (CRA) има за „цел да определи граничните условия за разработването на сигурни продукти с цифрови елементи, като се гарантира, че на пазара се пускат хардуерни и софтуерни продукти с по-малко уязвимости, както и че производителите се отнасят сериозно към сигурността през целия жизнен цикъл на продукта. Той също така има за цел да създаде условия, които позволяват на ползвателите да вземат предвид киберсигурността при избора и използването на продукти с цифрови елементи, например чрез подобряване на прозрачността по отношение на периода на поддръжка за предоставяните на пазара продукти с цифрови елементи“. Това пише в Акта за киберустойчивост, който беше публикуван в Official Journal. Ето и едно от важните приложения:
ПРИЛОЖЕНИЕ I
СЪЩЕСТВЕНИ ИЗИСКВАНИЯ ЗА КИБЕРСИГУРНОСТ
Част I Изисквания за киберсигурност, свързани със свойствата на продуктите, съдържащи цифрови елементи
1) Продуктите с цифрови елементи се проектират, разработват и произвеждат по такъв начин, че да гарантират подходящо ниво на киберсигурност въз основа на рисковете.
2) Въз основа на оценката на киберриска, посочена в член 13, параграф 2, и когато е приложимо, продуктите с цифрови елементи:
а) се предоставят на пазара без уязвимости, които са вече известни и могат да бъдат използвани;
б) се предоставят на пазара с настройки за сигурност по подразбиране, освен ако между производителя и стопанския ползвател е договорено друго във връзка с индивидуализиран продукт с цифрови елементи, включително възможност за възстановяване на продукта до първоначалното му състояние;
в) осигуряват възможност да се отстраняват уязвимостите чрез актуализации за сигурност, включително, когато е приложимо, чрез активирана по подразбиране настройка за инсталиране в подходящи срокове на автоматични актуализации за сигурност, с ясен и лесен за използване механизъм за отказ от това, както и чрез уведомяване на потребителите за наличните актуализации и възможността за временното им отлагане;
г) гарантират защита от непозволен достъп чрез подходящи механизми за контрол, включително, но не само, системи за управление на удостоверяването на автентичност, самоличността и достъпа, и докладват за евентуален непозволен достъп;
д) защитават поверителността на съхранени, предадени или обработени по друг начин данни, лични или други, като например чрез криптиране на съответните данни в покой или при пренос чрез най-съвременните механизми и чрез използване на други технически средства;
е) защитават целостта на съхранени, предадени или обработени по друг начин данни, лични или други, команди, програми и конфигурация срещу манипулиране или промяна, които не са разрешени от ползвателя, и докладват за повреди;
ж) обработват само данни, лични или други, които са подходящи, свързани със и ограничени до необходимото във връзка с предназначението на продукта с цифрови елементи („свеждане на данните до минимум“);
з) защитават наличието на основни и базисни функции, също така и след инцидент, включително чрез мерки за устойчивост срещу и смекчаване на въздействието на атаки за отказ на услуга;
и) ограничават до минимум отрицателното въздействие на самите продукти или на свързани устройства върху наличието на услуги, предоставяни от други устройства или мрежи;
й) са проектирани, разработени и произведени по такъв начин, че да бъдат ограничени повърхностите, уязвими за атаки, включително външните интерфейси;
к) са проектирани, разработени и произведени по такъв начин, че да бъде намалено въздействието на даден инцидент чрез подходящи механизми и техники за смекчаване на въздействието на зловреден код;
л) осигуряват информация, свързана със сигурността, посредством възможности за записване и наблюдение на съответната вътрешна дейност, включително достъпа до данни, услуги или функции или тяхната промяна, с механизъм за отказ за ползвателя;
м) предоставят възможност на потребителите сигурно и лесно да премахват по траен начин всички данни и настройки, а когато тези данни могат да бъдат прехвърлени към други продукти или системи, гарантират, че това се извършва по сигурен начин.
Част II Изисквания относно отстраняването на уязвимости
Производителите на продукти с цифрови елементи:
1) идентифицират и документират уязвимостите и компонентите, съдържащи се в продуктите с цифрови елементи, включително чрез изготвяне на опис на софтуерните компоненти в общоприет и машинночитаем формат, обхващащ най-малко зависимостите на продуктите на най-високо равнище;
2) във връзка с рисковете за продуктите с цифрови елементи, незабавно предприемат действия и отстраняват уязвимостите, включително чрез осигуряване на актуализации за сигурност, когато това е технически осъществимо, новите актуализации за сигурност се предоставят отделно от актуализациите на функционалните възможности;
3) изпълняват ефективни и редовни проверки и прегледи на сигурността на продукта с цифрови елементи;
4) след като бъде предоставена актуализация за сигурност, споделят и публично разкриват информация за коригираните уязвимости, включително описание на уязвимостите, информация, която дава възможност на ползвателите да идентифицират засегнатия продукт с цифрови елементи, въздействието на уязвимостите, тяхната сериозност и ясна и достъпна информация, помагаща на ползвателите да коригират уязвимостите; в надлежно обосновани случаи, когато производителите считат, че рисковете за сигурността поради публикуването превишават ползите за сигурността, те могат да отложат публичното оповестяване на информация относно отстранена уязвимост, докато на потребителите бъде дадена възможност да приложат съответната софтуерна поправка;
5) въвеждат и прилагат политика относно координирано оповестяване на уязвимости;
6) предприемат мерки за улесняване на споделянето на информация за потенциалните уязвимости в техния продукт с цифрови елементи, както и в компоненти на трети страни, съдържащи се в този продукт, включително чрез предоставяне на адрес за контакт за докладване на уязвимостите, открити в продукта с цифрови елементи;
7) предоставят механизми за сигурно разпространение на актуализации за продукти с цифрови елементи, за да се гарантира, че уязвимостите са коригирани или въздействието им е смекчено своевременно и когато е приложимо за актуализациите за сигурност, по автоматичен начин;
8) гарантират, че когато са налични актуализации на защитата с цел преодоляване на установени проблеми със сигурността, те се разпространяват незабавно и – освен ако между производител и стопански ползвател е договорено друго във връзка с индивидуализиран продукт с цифрови елементи – безплатно, придружени от информационни съобщения, предоставящи на ползвателите необходимата информация, включително относно потенциалните действия, които трябва да бъдат предприети.
Регламентът влиза в сила на двадесетия ден след публикуването му в Official Journal. Прилага се от 11 декември 2027 г.
Член 14 обаче се прилага от 11 септември 2026 г., а глава IV (членове 35 -51) се прилага от 11 юни 2026 г.
Cyber Resilience Act е задължителен в своята цялост и се прилага пряко във всички държави членки.