Kibernetinio atsparumo aktas (CRA, angl. Cyber Resilience Act, Reglamentas (ES) 2024/2847) yra naujas Europos Sąjungos (ES) teisės aktas, nustatantis privalomus kibernetinio saugumo reikalavimus produktams su skaitmeniniais elementais. Reglamentas įsigaliojo 2024 m. gruodžio 10 d., o jo prievolės verslui pradeda veikti etapais 2026–2027 metais. Jis palies kur kas daugiau įmonių, nei daugelis tikisi – ne tik programinės įrangos kūrėjus, bet ir įrenginių gamintojus, importuotojus bei platintojus. Šiame straipsnyje apžvelgiame, kas yra Kibernetinio atsparumo aktas, kam jis taikomas, kokie svarbiausi reikalavimai, terminai ir baudos bei kaip jūsų verslui pasiruošti.
Kas yra Kibernetinio atsparumo aktas?
Tai pirmasis horizontalus ES teisės aktas, nustatantis vienodus kibernetinio saugumo reikalavimus produktams su skaitmeniniais elementais per visą jų gyvavimo ciklą – nuo projektavimo iki palaikymo pabaigos. Skirtingai nuo iki šiol vyravusių savanoriškų standartų ir gerųjų praktikų, čia kalbama apie teisiškai privalomas prievoles. Pagrindinis tikslas – kad į ES rinką patenkantys produktai būtų saugūs pagal numatytąją sandarą (angl. secure by design), o gamintojai atsakingai ir skaidriai valdytų pažeidžiamumus. Vienas iš šalutinių, bet svarbių privalumų verslui – harmonizuoti reikalavimai pakeičia iki 27 skirtingų nacionalinių tvarkų ir palengvina laisvą prekių judėjimą bendrojoje rinkoje.
Kam taikomas Kibernetinio atsparumo aktas?
Aktas taikomas visiems „produktams su skaitmeniniais elementais“ – bet kokiai programinei ar aparatinei įrangai, galinčiai tiesiogiai arba netiesiogiai jungtis prie tinklo ar kito įrenginio. Praktiškai tai apima daiktų interneto (IoT, angl. Internet of Things) prietaisus, programinę įrangą, mobiliąsias programėles, pramoninės automatikos komponentus, tinklo įrangą ir daugybę kitų gaminių. Prievolės tenka trims veiklos vykdytojų grupėms: gamintojams, importuotojams ir platintojams, tačiau didžiausia atsakomybės dalis – gamintojui.
Svarbu suprasti platų taikymo pobūdį: net jei jūsų įmonė nelaiko savęs „technologijų“ verslu, bet gamina ar tiekia įrenginius su mikroprocesoriumi ir ryšio galimybe, labai tikėtina, kad patenkate į reglamento taikymo sritį. Pirmasis protingas žingsnis kiekvienam gaminiui – raštu užfiksuoti sprendimą: patenka į sritį ar ne ir kodėl.
Pagrindiniai reikalavimai gamintojams
Esminiai kibernetinio saugumo reikalavimai išdėstyti reglamento I priede. Svarbiausi iš jų:
- Numatytoji sauga – produktai projektuojami ir gaminami taip, kad būtų pateikiami be žinomų išnaudojamų pažeidžiamumų.
- Pažeidžiamumų valdymas – pažeidžiamumų nustatymas, dokumentavimas ir šalinimas per visą numatytą gyvavimo ciklą.
- Saugumo atnaujinimai – nemokamų saugumo atnaujinimų teikimas visą palaikymo laikotarpį, kuris paprastai yra ne trumpesnis kaip 5 metai arba atitinka numatytą produkto naudojimo trukmę.
- Programinės įrangos medžiagų sąrašas (SBOM, angl. Software Bill of Materials) – naudojamų komponentų skaidrumas, ypač svarbus dėl atvirojo kodo priklausomybių.
- Techninė dokumentacija ir naudotojo instrukcijos – aiški informacija apie saugų naudojimą, palaikymo terminus ir saugumo savybes.
Papildomai nuo 2026 m. rugsėjo gamintojams taikoma prievolė pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus – tai atskira, anksčiausiai įsigaliojanti akto dalis.
Produktų kategorijos ir atitikties vertinimas
Reglamentas skirsto produktus į kategorijas pagal riziką, o kategorija lemia, kokia atitikties vertinimo procedūra taikoma:
- Numatytieji produktai (apie 90 % rinkos) – pakanka gamintojo savideklaracijos ir ES atitikties deklaracijos.
- Svarbūs I klasės produktai (pvz., naršyklės, virtualaus privataus tinklo (VPN, angl. Virtual Private Network) programos, slaptažodžių tvarkyklės) – taikomi harmonizuoti standartai arba trečiosios šalies vertinimas.
- Svarbūs II klasės produktai (pvz., ugniasienės, įsilaužimų prevencijos sistemos, hipervizoriai) – privalomas notifikuotosios įstaigos vertinimas.
- Ypatingos svarbos produktai (pvz., aparatiniai saugumo moduliai, išmaniųjų skaitiklių šliuzai) – reikalingas Europos kibernetinio saugumo sertifikavimas.
Sėkmingai atlikus atitikties vertinimą, produktas ženklinamas CE (pranc. Conformité Européenne) ženklu, kuris kartu patvirtina ir atitiktį kibernetinio saugumo reikalavimams. Būtent teisinga klasifikacija yra pigiausias ir svarbiausias pirmasis sprendimas – nuo jos priklauso visų tolesnių veiksmų apimtis ir kaštai.
Svarbiausi Kibernetinio atsparumo akto terminai
- 2026 m. birželio 11 d. – pradeda veikti nuostatos dėl atitikties vertinimo įstaigų notifikavimo (pasirengimas infrastruktūrai).
- 2026 m. rugsėjo 11 d. – įsigalioja prievolė pranešti apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus.
- 2027 m. gruodžio 11 d. – pradedami taikyti visi esminiai reikalavimai: CE ženklinimas, techninė dokumentacija, atitikties vertinimas. Nuo šios datos naujo produkto be atitikties vertinimo į rinką pateikti nebegalima.
Baudos už reikalavimų nesilaikymą
Reglamentas numato pakopinę baudų sistemą, kurioje bauda priklauso ne nuo pažeidžiamumo sunkumo, o nuo to, kuri prievolė pažeista:
- Iki 15 mln. EUR arba 2,5 % pasaulinės metinės apyvartos (taikoma didesnioji suma) – už esminių reikalavimų (I priedas) ir gamintojo bei pranešimų prievolių (13 ir 14 straipsniai) pažeidimus.
- Iki 10 mln. EUR arba 2 % apyvartos – už kitų veiklos vykdytojų prievolių ar ES atitikties deklaracijos reikalavimų pažeidimus.
- Iki 5 mln. EUR arba 1 % apyvartos – už klaidingos, neišsamios ar klaidinančios informacijos pateikimą institucijoms.
Be finansinių baudų, neatitinkantis reikalavimų produktas gali būti pašalintas iš rinkos arba jo tiekimas apribotas, o tai reiškia tiesioginį rinkos praradimą ir reputacinę žalą.
Kibernetinio atsparumo aktas Lietuvoje
Lietuvoje priežiūrą vykdys rinkos priežiūros institucijos, koordinuojamos su Nacionaliniu kibernetinio saugumo centru (NKSC). NKSC taip pat veiks kaip nacionalinė kompiuterinių incidentų tyrimo tarnyba (CSIRT, angl. Computer Security Incident Response Team), kuriai bus teikiami pranešimai apie pažeidžiamumus. Detalus nacionalinis reglamentavimas dar tikslinamas, todėl verta reguliariai sekti NKSC skelbiamas gaires.
Kaip verslui pasiruošti?
Pasiruošimas – ne vienkartinis projektas, o etapais planuojama veikla iki 2027 m. gruodžio. Rekomenduojame šiuos žingsnius:
- Inventorizuokite produktus ir nustatykite, kurie patenka į taikymo sritį bei kuriai rizikos klasei priklauso.
- Atlikite atotrūkio (gap) analizę tarp esamos būklės ir esminių reikalavimų.
- Įdiekite saugaus kūrimo ir pažeidžiamumų valdymo procesus, įskaitant atskleidimo kanalą.
- Parenkite techninę dokumentaciją ir SBOM, kad atitiktį būtų galima įrodyti.
- Pasiruoškite pranešimų procesui iki 2026 m. rugsėjo 11 d.
- Suplanuokite atitikties vertinimą ir CE ženklinimą iki 2027 m. gruodžio 11 d.
Ankstyvas pasiruošimas yra ne tik teisinė būtinybė, bet ir konkurencinis pranašumas: gebėjimas įrodyti atitiktį tampa svarbiu argumentu derybose su klientais ir partneriais.
Kaip galime padėti
„Fintech lab“ MB (mažoji bendrija) teikia informacinių technologijų ir operacinių technologijų (IT/OT) kibernetinio saugumo paslaugas ir turi realią atitikties audito patirtį. Padedame verslui visame pasiruošimo kelyje – nuo taikymo srities įvertinimo ir produktų klasifikacijos iki atotrūkio analizės, pažeidžiamumų valdymo procesų diegimo ir pasirengimo atitikties vertinimui. Susisiekite dėl nemokamo pirminio pokalbio ir sužinokite, kurios Kibernetinio atsparumo akto prievolės aktualios būtent jūsų produktams.