Cyber Resilience Act (CRA) часто описывают как новый европейский закон о кибербезопасности. Но для бизнеса главный вопрос гораздо практичнее: «Мы вообще подпадаем под CRA, и что именно от нас требуется?».
CRA касается гораздо большего числа компаний, чем может показаться. Это не только производители «железа» и IoT, но в зависимости от продукта, требования могут распространяться на разработчиков ПО, производителей устройств с цифровыми компонентами, импортеров и дистрибьюторов.
Поэтому статья будет полезна компаниям, которые разрабатывают или продают цифровые продукты в ЕС, а также юристам и специалистам по соблюдению требований, техническим руководителям и специалистам по информационной безопасности.
Разбираем:
- какие продукты считаются «продуктами с цифровыми элементами» и где проходит граница применения CRA;
- кто по Регламенту считается производителем, импортером и дистрибьютором;
- какие требования предъявляются непосредственно к продукту;
- что меняется в части управления уязвимостями и уведомления об инцидентах;
- какие предусмотрены штрафы и что нужно сделать бизнесу для подготовки.
Обращаем внимание, что обязательства по отчетности будут действовать уже с 11 сентября 2026 года.
Основные обязательства, предусмотренные Регламентом, вступают в силу с 11 декабря 2027 года.
Полный разбор по ссылке - https://algl.legal/cyber-resilience-act-cra-trebovaniya-es