Storitev
CRA Managed
Obveznosti po CRA se ne končajo z izidom. CRA Managed vzdržuje obravnavo ranljivosti, SBOM, VEX, dokazila in pripravljenost na poročanje aktualne v celotnem obdobju podpore, da tehnična mapa še vedno ustreza izdelku.
Zakaj je to pomembno zaradi CRA
Člen 13(8) zahteva obravnavo ranljivosti v obdobju podpore, ki je vsaj pet let, razen če se izdelek pričakovano uporablja krajše. Člen 13(3) zahteva, da se ocena tveganj v tem času po potrebi posodablja, člen 13(9) pa, da varnostne posodobitve ostanejo na voljo vsaj 10 let ali za preostanek obdobja podpore, kar je daljše.
Bistvene spremembe lahko spremenijo tudi položaj glede skladnosti. Nekdo mora to spremljati.
Težava, ki jo vidimo
- Projektna ekipa po prvi izdaji odide naprej.
- Nove ranljivosti prihajajo v sestavne dele, ki jih nihče ne spremlja.
- Tehnična mapa se oddaljuje od izdelka.
- Vodstvo nima pregleda nad pripravljenostjo in odprtim tveganjem.
- 01Spremljanje
- 02Ocena
- 03Posodobitev SBOM in VEX
- 04Pregled sprememb
- 05Osvežitev dokazil
- 06Poročilo vodstvu
Kaj naredimo
Spremljanje ranljivosti
Stalna povezava vaših SBOM z viri ranljivosti, s triažo v dogovorjenih odzivnih časih.
Življenjski cikel SBOM in VEX
SBOM in VEX ohranjena aktualna po izdajah, z arhivi za obdobje hrambe.
Pregled sprememb izdelka
Vsaka pomembna sprememba se preveri glede na oceno tveganj in glede bistvene spremembe.
Pripravljenost na poročanje
Redne vaje poteka za 24 h, 72 h in končno poročilo.
Sledenje obdobju podpore
Katere različice so v podpori, kateri sestavni deli se bližajo koncu življenjske dobe in kaj obljubljajo informacije za uporabnike.
Redni pregled CRA
Osvežena dokazila, ponovno odprte vrzeli, KPI-ji poročani vodstvu.
Kaj prejmete
- Mesečno ali četrtletno poročilo o stanju CRA
- Posodobljen arhiv SBOM in VEX
- Posodobitve dokazil in tehnične mape
- Ocene sprememb izdelka
- Varnostni KPI-ji in vložek za pregled vodstva
- Letni pregled pripravljenosti na CRA
Dokazila, ki nastanejo
- Datirani zapisi spremljanja in triaže
- Posodobljena tehnična dokumentacija po spremembi
- Zapisniki pregledov vodstva
Virtualni uradnik za varnost izdelkov
Za podjetja brez namenske funkcije varnosti izdelkov CRA Managed deluje kot zunanji uradnik za varnost izdelkov: imenovan strokovnjak, stalen koledar in jasna predaja vašim inženirjem, ko je potrebno ukrepanje.
Kaj sledi
- Kratek pogovorPotrdimo izdelek, vlogo na trgu in cilj.
- Ponudba z določenim obsegomFiksen obseg, izdelki in časovnica.
- Delo z vašimi inženirjiDelavnice in pregledi, ne predaja dokumentov.
Bo vaš izdelek pripravljen na CRA?
Obveznosti poročanja po CRA veljajo od 11. septembra 2026. Večina zahtev CRA se uporablja od 11. decembra 2027. Začnite z razumevanjem, kaj velja za vaš izdelek, kje so vrzeli in katera dokazila boste potrebovali.