Киберустойчивость: новые руководящие принципы CRA — наконец-то карта для соблюдения требований

Что такое Cyber Resilience Act и зачем нам эти руководящие принципы?

Представьте, что вам нужно собрать шкаф из IKEA, но в коробке только детали и ни одной инструкции. Примерно так чувствовали себя компании, пытаясь понять, как соблюдать Cyber Resilience Act (CRA) — регламент ЕС по кибербезопасности цифровых продуктов. Теперь Европейская комиссия выпустила долгожданные руководящие принципы, которые наконец-то дают карту. Хотя они не обязательны к исполнению, игнорировать их — всё равно что плыть без компаса.

Ключевые разъяснения: сфера применения, open source и существенные изменения

Кого касается CRA?

Регламент распространяется на все цифровые продукты — от умных лампочек до софта для управления заводом. Но есть нюансы: например, open source-софт, разрабатываемый не в коммерческих целях, может быть освобождён. Руководящие принципы уточняют, что считать «существенным изменением» — если вы выпустили обновление, которое меняет функционал продукта, это может запустить новые обязательства.

Обязанности по отчётности

Одна из самых головных болей — уведомление об уязвимостях. Принципы разъясняют, когда и как сообщать об инцидентах: если уязвимость активно эксплуатируется, тянуть нельзя. И да, сроки сентябрь 2026 и декабрь 2027 уже не за горами — готовьте сани летом.

Кстати, чтение этих руководящих принципов по увлекательности сравнимо с разглядыванием высохшей краски. Но мы постарались сделать это за вас — ниже шпаргалка.

Featured Snippet Bait

Какие главные изменения вносят руководящие принципы CRA? Они проясняют, какие продукты подпадают под регламент, как учитывать open source, что считать существенным обновлением и как правильно отчитываться об уязвимостях. Это дорожная карта для компаний, чтобы избежать штрафов.

Что дальше? Ваши следующие шаги

Не ждите 2026 года. Начните аудит своих продуктов уже сейчас. Проверьте, какие из них подпадают под CRA, оцените цепочку поставок и настройте процессы отчётности. Если вы разработчик open source — проверьте, не попали ли вы в зону риска. И да, руководящие принципы — это не закон, но суды и регуляторы будут на них ссылаться.

FAQ