Audyt CRA

Art. 14

Gotowość do zgłaszania podatności.

Od 11 września 2026 aktywnie wykorzystywaną podatność i poważny incydent zgłasza się w terminach z art. 14. Audyt sprawdza punkt kontaktowy, ścieżkę 24 i 72 godzin oraz to, czy zespół odróżnia podatność aktywnie wykorzystywaną od wyniku testu.

Sprawdź gotowość do art. 14 Narzędzia

Dla kogo

Dla zespołu, który wprowadza wyrób na rynek UE.

Strona jest dla osób z produktu, R&D i compliance, które chcą wiedzieć, co stoi na drodze do zgodności, zanim ułożą plan prac. Audyt nie zastępuje decyzji organu nadzoru i nie obiecuje oznakowania CE.

Co obejmuje

• Klasyfikacja produktu Czy wyrób podlega rozporządzeniu i jaka ścieżka oceny zgodności wchodzi w grę.
• Załącznik I Security by design, bezpieczne ustawienia domyślne i zarządzanie podatnościami, wobec punktów zasadniczych wymagań.
• SBOM i podatności Kompletność spisu komponentów oraz procedury wykrywania, koordynacji i zgłaszania podatności w terminach rozporządzenia.
• Dokumentacja Kompletność dokumentacji technicznej i gotowość deklaracji zgodności UE.
• Raport Lista braków, ocena ryzyka i priorytety: osobno to, co blokuje oznakowanie CE, i to, co można rozłożyć w czasie.

Etapy

Najpierw zakres produktu z elementami cyfrowymi. Sprawdzam, co w wyrobie jest oprogramowaniem, oprogramowaniem układowym, aplikacją albo zdalnym przetwarzaniem danych koniecznym do jego funkcji, i czy produkt w ogóle wchodzi w rozporządzenie. Bez tego kolejne pytania dotyczą złego przedmiotu.

Potem klasa. Produkt poza załącznikiem III i IV, ważny klasy I, ważny klasy II albo krytyczny wyznacza ścieżkę: samoocena albo udział strony trzeciej. Od tej decyzji zależy, jakiego dowodu zgodności w ogóle szukać.

Następnie okres wsparcia. Pytam, jak długo produkt ma być używany, czy data końca obsługi podatności jest znana przy nabyciu i czy okres jest krótszy niż pięć lat z uzasadnieniem, albo dłuższy tam, gdzie produkt jest używany dłużej, na przykład sterownik przemysłowy, system operacyjny albo urządzenie sieciowe.

Potem obsługa podatności i ścieżka 24 oraz 72 godzin. Sprawdzam punkt kontaktowy, sposób przyjęcia zgłoszenia oraz to, czy producent odróżnia podatność aktywnie wykorzystywaną od wyniku testu albo samego numeru CVE. Sprawdzam też, kto składa wczesne ostrzeżenie i zgłoszenie do CSIRT koordynatora i ENISA, od chwili, w której producent dowiedział się o zdarzeniu.

Potem dokumentacja. Zestawiam to, co jest, z dokumentacją techniczną i z informacjami dla użytkownika. Ocena ryzyka jest w tym zestawie, bo od niej zależą zabezpieczenia i późniejsze procedury. Raport oddziela to, co blokuje ocenę zgodności, od tego, co można rozłożyć do 11 grudnia 2027 r.

Na końcu komponenty osób trzecich. Sprawdzam, czy producent wie, co wbudowuje, czy ma zestawienie składników co najmniej dla zależności najwyższego poziomu i czy przy integracji stosuje należytą staranność, także wobec wolnego oprogramowania. Zestawienie służy organowi nadzoru rynku na żądanie. W audycie pytam, czy ono istnieje i czy da się wskazać składnik objęty konkretną podatnością.

Kolejność jest taka, bo zakres i klasa wyznaczają obowiązek. Okres wsparcia i ścieżka zgłoszeń mówią, co producent musi utrzymać po wprowadzeniu do obrotu. Dokumentacja i komponenty są dowodem, że te obowiązki da się wykonać.

Szacunek pracy

Podaj adres e-mail. Po wysłaniu zobaczysz szacunek nakładu dla przykładu już opublikowanego w narzędziach: produkt poza załącznikiem III i IV, średnia gotowość, trzy produkty. Cena szczegółowa po zapoznaniu się z produktami.

Kontekst aktu: czym jest CRA. Tekst rozporządzenia: PDF.