Kiberbiztonság CRA

Mi a Kiberbiztonság CRA modul, és mire használja a cég

A Kiberbiztonság CRA az eIntranet modulja azoknak a hardver- és szoftvergyártóknak, akiknek meg kell felelniük az (EU) 2024/2847 rendeletnek, közismert nevén a Cyber Resilience Actnek. Itt vezeti a digitális elemeket tartalmazó termékek nyilvántartását, azok verzióit és összetevőlistáját (SBOM), figyeli a sebezhetőségeket, és előkészíti az ENISA platformra szánt bejelentéseket. A modul a 24 órás, a 72 órás és a zárójelentési határidőt is őrzi.

A modul olyan helyzetre készült, amelyet a gyártó néhány évente él át, mégis egyetlen nap alatt kell kezelnie: egy ügyfél vagy biztonsági kutató jelzi, hogy a termék sebezhetőségét kihasználják. 2026. 9. 11-től a rendelet 14. cikke szerint ezeket az eseteket be kell jelenteni, mégpedig a jóval e dátum előtt forgalomba hozott termékeknél is. Aki nem jelölt ki előre embereket, nem gyakorolta be az eljárást, és nem tudja, milyen összetevők vannak a termékeiben, az akkor kezd szervezkedni, amikor az órák már járnak.

A modul nem helyettesíti a jogászt vagy a bejelentett szervezetet, és semmit nem küld el a hatóságoknak. Az ENISA SRP-be a bejelentést Ön adja be kézzel a portálon. A modul ehhez a megfelelő mezőkbe előkészíti az értékeket, figyeli a határidőket, és naplózza, mit és mikor adott be.

A cégen belül jellemzően három szerepkör használja: a termékfelelős, aki a nyilvántartást és az SBOM-ot vezeti; a kihasználás megállapításáról döntő személy a helyettesével; és az SRP-képviselők, akik a bejelentést ténylegesen beadják. A vezetés és a tanácsadó a gap-analízis és a műszaki dokumentáció miatt jár ide.

Hogyan működik a Kiberbiztonság CRA az eIntranetben lépésről lépésre

A modulban két ösvényen halad a munka, és a két ösvény a 14. cikk szerinti esetnél találkozik. Az egyik a mindennapi nyilvántartás, a másik a válsághelyzeti eljárás.

Termékek és összetevők nyilvántartása

A Digitális elemeket tartalmazó termékek fülön felvesz egy terméket a hivatalos nevével, amely a bejelentésbe és az EU-megfelelőségi nyilatkozatba is bekerül. Megválaszolja, van-e adatkapcsolata, a CRA hatálya alá tartozik-e, és melyik kategóriába esik (alapértelmezett, I. vagy II. osztályú fontos termék, kritikus). A CRA-üzemmódot a modul a válaszokból maga állapítja meg, kézzel nem állítható: a termék vagy hatályon kívül esik, vagy csak a 14. cikk szerinti bejelentés vonatkozik rá, vagy 2027. 12. 11-től a teljes CRA. A „Nem tudom” válasz sárga kérdőjellel bizonytalannak jelöli a terméket.

A termékhez verziót ad, és ebbe tölti fel az SBOM-ot CycloneDX 1.4-től 1.6-ig vagy SPDX 2.2, 2.3 és 3.0.1 formátumban. Az import két lépésből áll: először jön az összegzéssel, minőségellenőrzéssel és az előző verzióhoz képesti különbséggel ellátott előnézet, és csak utána a Import jóváhagyása gomb. Azokat az összetevőket, amelyeket az eszköz nem lát (RTOS, bootloader, statikusan belinkelt könyvtárak), kézzel pótolja, és a következő import békén hagyja őket.

A sebezhetőségtől az esetig

A modul naponta egyszer összeveti az összetevőket az OSV nyilvános forrással és az aktívan kihasznált sebezhetőségek katalógusával. Minden találatból Értékelés alatt állapotú megállapítás lesz. A súlyosságtól függően az értékelési határidő az alacsonynál 60 nap, a kritikusnál 7 nap; az aktívan kihasználtként (KEV) megjelölt sebezhetőséget egy napon belül kell értékelni. Az értékelés eredménye Érintett, Nem érintett (indoklással és bizonyítékokkal) vagy Javítva lehet.

Az SBOM-ban talált egyezés még nem 14. cikk szerinti felfedezés. Az esetet csak Ön nyitja meg, a piros 14. cikk szerinti eset indítása gombbal, amikor észszerű bizonyossággal tudja, hogy a sebezhetőséget a termékében kihasználják. Gyanút bárki jelezhet, aki olvasási joggal rendelkezik a modulban, a fejlécben található Gyanú jelzése gombbal.

Határidők és beadás

Az eset részleteiben a döntéshozó a Felfedezve, Figyeljük vagy Nem jelentjük lehetőséget választja. A Felfedezve választás elindítja a visszaszámlálást: a korai figyelmeztetés 24 órán belül, a bejelentés 72 órán belül esedékes. Sebezhetőségnél a zárójelentés az első elérhető intézkedéstől számított 14 napon belül, súlyos incidensnél a bejelentéstől számított egy hónapon belül kell megérkezzen. Minden fázisnál rákattint a Bejelentés előkészítése gombra, az űrlap az esetből és a termékekből előre kitöltődik, a mezőket átmásolja az SRP-be, a modulban pedig rögzíti a beadást a bejelentés számával.

Mit tud még a CRA modul

• Terméknyilvántartás a III. és IV. melléklet szerinti kategóriával, a megfelelőségértékelési eljárással, a támogatási időszakkal és azokkal az államokkal, ahol a termék piacon van. A modul jelzi, ha a támogatási időszak rövidebb a várható használati időnél, vagy öt év alatt van.
• Telepített bázis: a termékhez hozzárendeli a CRM modul ügyfeleit, és azok országát a tagállamok javaslatánál használja fel.
• Sebezhetőségi megállapítások Aktívan kihasznált (KEV) szűrővel, a kijelölt sorok tömeges értékelésével, valamint az értékelés átvételével, ha ugyanazt az összetevőt ugyanabban a verzióban a termék egy másik verziójánál már elintézte.
• 14. cikk szerinti esetek az Észlelés – értékelés alatt állapottól a Lezárva – bejelentve állapotig, idővonallal és PDF-dossziéval a felügyeletnek vagy az archívumnak.
• SRP-bejelentési űrlap az SRP 1.3 szójegyzék (2026. 9. 25.) szerint: mezőszámok, karakterszámlálók, a kötelező mezők ellenőrzése beadás előtt és a Mindent másol gomb.
• Beérkezett sebezhetőségi bejelentések (VR-… számok), nyilvános űrlap a /Security címen és koordinált sebezhetőség-közzétételi szabályzat sablonja cseh, angol és német nyelven.
• Gap-analízis: 50 kérdés hét területen (A–G), háromszintű pontszám, cselekvési terv Feladat létrehozása gombbal, negyedéves ütemterv 2027. 12. 11-ig és PDF-jelentés.
• Megfelelőség és műszaki dokumentáció: az I. melléklet követelményei (I-1, I-2a–I-2m, II-1–II-8), 5×5-ös kockázati mátrix, VII. melléklet, EU-megfelelőségi nyilatkozat és a II. melléklet szerinti felhasználói tájékoztatás.
• Rögzített kimenetek: a gap-analízis záró jelentése, az SRP-beadások mellékletei és a jóváhagyott dokumentumverziók SHA-256 ujjlenyomattal tárolódnak, és nem írhatók felül, nem törölhetők.
• Előzmények és kuka: minden módosítás a felhasználóval, az idővel, valamint a régi és az új értékkel kerül naplóba, a jogosultság nélküli, elutasított kísérleteket is beleértve.

Bejelentési készenlét: SRP-képviselők, szabadságok és a 24 órás eljárásrend

A bejelentés leggyakoribb hibája nem technikai jellegű. Az SRP-be csak az léphet be, aki a portálon EU Login fiókkal, többlépcsős hitelesítéssel regisztrált, és akinek a céghez való kapcsolatát a koordináló CSIRT ellenőrizte. A megkezdett bejelentést ráadásul az SRP-ben csak a szerzője látja. Ha az egyetlen képviselő szabadságon van, senki más nem fér hozzá.

A modul ezt a CRA áttekintő fülön található Bejelentési készenlét (14. cikk) ellenőrzőlistával figyeli. Kilenc pontja van: ellenőrzött elsődleges és másodlagos képviselő, az elmúlt 90 napban kipróbált SRP-bejelentkezés, a döntéshozó és a helyettese (két különböző személy), az értesítések címzettjei, egyértelmű termékosztályozás, kapcsolattartási pont CVD-szabályzattal, az elmúlt 12 hónapban tartott gyakorlat, és az emberek elérhetősége a következő 60 napban. Az SRP egy elsődleges és legfeljebb 20 másodlagos képviselőt enged meg.

Ha a Szabadságok modul be van kapcsolva, az Áttekintés sárga sávokat mutat azokra az időszakokra, amikor a képviselők közül senki, illetve a döntéshozó és a helyettese sem érhető el. Csak a jóváhagyott szabadságokat számolja; a függőben lévőket és az elutasítottakat nem. Naponta egyszer reggel e-mail érkezik azokról a szakaszokról, amelyek 14 napon belül kezdődnek.

Éjszakára és hétvégére szolgál az egyoldalas PDF, a 24 órás eljárásrend: a döntéshozó és a képviselők elérhetőségei a felhasználói kártyákról átvett telefonszámokkal, a koordináló CSIRT, nyolc sorszámozott lépés a jelzéstől a párhuzamos bejelentésekig, valamint a táblázat azokkal a mezőkkel, amelyeket az SRP a korai figyelmeztetésben kér. Nyomtassa ki. Évente egyszer pedig gyakorolja be az egész eljárást GYAKORLAT címkéjű próbaesettel; a gyakorlat nem indít valódi határidőket, az ellenőrzőlista viszont megköveteli.

Hogyan válasszon eszközt a CRA-hoz: mit kérdezzen vásárlás előtt

Megkülönbözteti az eszköz a nyilvántartást a bejelentéstől?

Sok eszköz csak összetevőlistát tud vezetni. Kérdezze meg, kezel-e 14. cikk szerinti esetet három egymástól függetlenül futó határidővel, és számolja-e, mikortól fut a határidő. A CRA modulban addig nem indul el semmi, amíg a döntéshozó be nem rögzíti a felfedezést dátummal és indoklással. Sem a CVE-egyezés, sem a KEV-katalógus bejegyzése önmagában nem indítja el az órát.

Megfelel az űrlap a valódi platformnak?

A bejelentést angolul, az SRP mezőiben kell beadni. Ellenőrizze, hogy az eszköz ugyanazokat a mezőneveket és számokat használja-e, mint a platform szójegyzéke, és jelzi-e a hiányzó kötelező mezőt, mielőtt másodszor is kitöltené a portálon. A modul űrlapja megkülönbözteti az aktívan kihasznált sebezhetőséget a súlyos incidenstől és a bejelentés fázisát.

Marad a beadás után olyan nyom, amelyet meg tud védeni?

A beadott bejelentés zárolt, a mellékletek az eset lezárásakor zárolódnak, a felfedezés időpontját pedig csak az adminisztrátor javíthatja kötelező indoklással; az eredeti érték megmarad a dossziéban. A CSIRT kérésére a 14. cikk (6) bekezdése szerint küldött frissítést külön bejegyzésként tartja nyilván.

Mi legyen a már piacon lévő termékekkel?

A bejelentés a 2027. 12. 11. előtt forgalomba hozott telepített bázisra is vonatkozik, és az értékesítés, a támogatás megszűnése után, sőt az üzemből való kivonás után is tart. Kérdezze meg, hogy az eszköz meghatározza-e Ön helyett az üzemmódot, és meg tudja-e különböztetni a 2027. 12. 10. utáni új megrendelésekből származó hardvert a régebbi daraboktól.

Mennyi felügyeletet kap az, aki semmit nem állított be?

A modulba mindenki bejut, akinek olvasási joga van, és gyanút is jelezhet. A szerkesztést, a véglegesítést és a törlést négy jogosultsági szint osztja meg. Hogy ki módosíthatja az SRP-képviselőket, azt a CRA modul beállításai külön szint határozza meg.

Kiberbiztonság CRA kis gyártóknak és több termékkel dolgozó cégeknek

Egy háromfős fejlesztőcsapattal dolgozó, beágyazott eszközöket gyártó kisvállalkozásnak nincs szüksége tanúsított biztonsági csapatra, hanem termékjegyzékre, SBOM-ra és arra kell, hogy tisztában legyen, ki jelent be. A modul rögzített lépéssort ad neki, és nem kényszeríti, hogy belső szabályzatot írjon a nulláról. A vállalkozás méretét a modulban mikro (10 alkalmazottig), kis (50-ig), közepes (250-ig) vagy nagy kategóriaként állítja be. Bejelentési kötelezettsége mindenkinek van mérettől függetlenül; a méretet a modul csak nyilvántartja, és előtölti a bejelentésbe.

A tíz termékkel és több tucat verzióval dolgozó szoftvercég az ellenkező problémával küzd: a mennyiséggel. Ebben segít a megállapítások tömeges értékelése, a termék szerinti szűrő, ugyanannak az összetevőnek az átvett értékelése, valamint a menüelem mellett megjelenő szám, amely az értékelésre váró gyanúkat, a Felfedezve állapotú eseteket és a határidőn túli megállapításokat számolja. A nézetpanelen a CRA kártya összefoglalja a nyitott eseteket, a legközelebbi határidőt és az utolsó gap-analízis pontszámát.

A tanácsadó, aki az ügyfélnek vezet gap-analízist, a CRA-kezelés szintet kapja. Az interjúkat az Interjúk fülön rögzíti, az ügyfélnek VÁZLAT vízjellel ellátott jelentést küld, majd véglegesíti. A következő kör az átvett válaszokkal készült másolatként jön létre.

Honnan veszi az adatait a CRA modul: SBOM, OSV, KEV-katalógus és beérkezett bejelentések

Bemenet

Az összetevők listáját SBOM-fájlként tölti fel. A minőséget három szinten értékeli: CRA-minimum (géppel olvasható formátum, fő összetevő és a legfelső szintű függőségek), BSI TR-03183-2 szint (CycloneDX 1.6 vagy újabb, illetve SPDX 3.0.1, purl vagy CPE azonosítók, SHA-512 ujjlenyomat, licencek) és kiegészítő szint. Megállapítás csak olyan összetevőnél keletkezik, amelynek van verziós purl-ja vagy érvényes CPE-je, ezért a verzió részletei megmutatják, hány összetevőt nem tud a figyelés kiértékelni.

A napi figyelés az OSV nyilvános forrást és az EUVD aktívan kihasznált sebezhetőségi katalógusát olvassa, tartalékként az amerikai CISA-katalógus szolgál. A CPE-vel rendelkező összetevőket ezenfelül fokozatosan végigjárja az NVD forrásban, mindegyiket nagyjából hetente egyszer. A világból érkező bejelentések a kapcsolattartási ponton is beérkeznek: e-mailben, ügyféltől, a CSIRT-től vagy a nyilvános /Security űrlapról, amelyet captcha és egy IP-címről óránként 5, naponta 20 bejelentés korlátja véd.

Hardver

Hardverre nincs szüksége. A modul böngészőben fut, az SBOM előállításához pedig a fejlesztésben már meglévő eszközöket használja.

Kimenet

A kiválasztott verzió SBOM-ját CycloneDX 1.6 formátumban exportálja (.cdx.json fájl). A gap-analízisből PDF-jelentés, cselekvési terv és ütemterv (XLSX), valamint dokumentumlista XLSX-ben és PDF-ben készül. Az esethez Dosszié (PDF) tartozik, a Feladatok modulból pedig a felelős személyeknek kiadhatja a cselekvési terv intézkedéseit. Az RFC 9116 szerinti security.txt fájlt a modul a kapcsolattartási e-mailből maga állítja össze; Ön /.well-known/security.txt néven teszi ki a webre, és évente megújítja, mert egy évre előre érvényes. Az SRP-be, a hatóságoknak vagy az ügyfeleknek a modul semmit nem küld.

Mennyibe kerül a Kiberbiztonság CRA modul

A modul az eIntranet minden csomagjának árában benne van, külön CRA-licenc nincs. A rendszerhez hozzáféréssel rendelkező felhasználók után fizet, nem a termékek, verziók, összetevők vagy esetek száma után. Nem kell tehát azt számolgatnia, hány terméket engedhet meg magának rögzíteni.

Példa: fejlesztőcsapat és két ügyfélszolgálatos, összesen 8 felhasználó az Alap csomagban, 8 × 2,4 EUR = 19,2 EUR havonta áfa nélkül. Ha egy tanácsadóval és a vezetéssel 15 felhasználóra bővül, már a 11 felhasználótól érvényes sáv díja jár: 15 × 2,1 EUR = 31,5 EUR havonta. A Normal és az Extra csomag a felhasználónkénti tárhely méretében (0,5, 2 és 4 GB) és a díjban különbözik; minden modul mindegyik csomag árában benne van. A teljes árlista a /hu/pricelist oldalon található.

Hardverre nincs szüksége. Ha segítséget szeretne a képviselők beállításához és az eljárásrendhez, tanácsadást és oktatást kínálunk óránként 40 EUR-ért. Az egyedi módosítások, például a fejlesztői rendszerhez való kapcsolódás, egyedi programozásnak számítanak, az árlista szerinti óradíjjal. A sebezhetőségek figyeléséért és az AI-segédekért nem kell felárat fizetni; az AI a cég krediteiből fogyaszt, és alapértelmezésben ki van kapcsolva.

CRA-megoldás ingyen: mi megy fizetés nélkül, és hol a határ

Akinek egy terméke van, és átlátja az összetevőit, nálunk nélkül is el tud indulni. Az SBOM-ot ingyenes eszközök is elő tudják állítani, a sebezhetőségeket a nyilvános OSV adatbázis figyeli, a KEV-katalógus pedig nyilvános. Az első hónapra elég egy Excel-táblázat a bejelentő személyek elérhetőségeivel és egy hivatkozás az SRP portálra.

A határ három ponton jön el. Az első a bizonyítás: az Excel nem rögzíti, ki és mikor módosította a felfedezés időpontját, és nem zárolja a beadott bejelentést. A felügyelet által kért esetdossziét aztán kézzel rakja össze e-mailekből. A második a helyettesíthetőség: a táblázat nem őrzi, hogy mindkét SRP-képviselő pénteken szabadságon van. A harmadik a termékek és verziók száma: ha több tucat SBOM-ot vezet, kézzel nem találja meg, hogy egy könyvtár új sebezhetősége mely verziókat érinti.

Ingyen kipróbálhat mindent: 14 nap próbaidő kötelezettség nélkül, a gyakorló esettel együtt.

Hogyan vezesse be a Kiberbiztonság CRA modult

Kezdje a beállításokkal: Beállítások → Kiberbiztonság CRA → Általános beállítások. Az értékek a mező elhagyása után azonnal mentődnek, és minden módosítás bekerül az előzményekbe. A modul első megnyitásakor a gyártó adatai a cégkártyáról előtöltődnek.

1. A gyártó adatai: cégnév, cím, a felhasználók e-mail-címe és weboldal. Ezeket az EU-megfelelőségi nyilatkozat és a felhasználói tájékoztatás használja.
2. Bejelentés a 14. cikk szerint: a fő telephely állama (alapértelmezés Csehország), koordináló CSIRT (alapértelmezés NÚKIB), a vállalkozás mérete, a döntéshozó és a helyettese, a jelzés első értékelésének célideje (1–168 óra, alapértelmezés 24) és a határidő előtti emlékeztetők, például 12;4;1.
3. SRP-képviselők: adjon hozzá legalább egy elsődleges és egy másodlagos képviselőt, töltse ki a CSIRT általi ellenőrzés dátumát, és jegyezze fel a kipróbált bejelentkezést.
4. Kapcsolattartási pont: külön security@az-on-domainje típusú postafiók, a CVD-szabályzat a sablonból és szükség szerint a nyilvános űrlap.
5. Jogosultságok: az Olvasás és gyanú jelzése szintet adja az egész cégnek, a Megoldás szintet a fejlesztőknek, a CRA-kezelés szintet a tanácsadónak és a vezetőnek.
6. Termékek és SBOM: vegye fel a termékeket, adja hozzá a verziókat, és töltse fel az SBOM-ot. Ezzel elindul a napi figyelés.

Ezután nyissa meg a CRA áttekintést: az ellenőrzőlista megmutatja, mi hiányzik még, és az egyes pontoknál a hivatkozás a javítás helyére vezet. A gap-analízist akkor érdemes felvenni, amikor a termékek már a nyilvántartásban vannak.