Какие результаты следует ожидать от комплексной услуги по соответствию CRA

Соответствие требованиям Акта ЕС о киберустойчивости (CRA) — это не один тест на проникновение и не разовый сертификат. Для производителя это процесс формирования доказательств и допуска продукта к выпуску, который связывает применимость и границы продукта, оценку рисков кибербезопасности, инженерные меры, обработку уязвимостей, техническую документацию, применимый маршрут оценки соответствия, контроль маркировки CE и декларации соответствия ЕС и обязанности после размещения продукта на рынке.

По состоянию на 7 октября 2026 года CRA находится в переходном периоде: обязанности производителей по уведомлению по статье 14 действуют с 11 сентября 2026 года, тогда как Регламент в целом применяется с 11 декабря 2027 года. Поэтому корректно выстроенный проект включает два направления: реально работающий уже сейчас процесс обязательной отчётности и программу готовности к рынку, завершающую формирование доказательств по продукту и процессам до даты общего применения 11 декабря 2027 года.

Какие результаты следует ожидать от комплексной услуги по соответствию CRA

В рамках такой услуги правовые требования следует преобразовать в контролируемые результаты проекта. Основной результат — не общая консультация, а прослеживаемое досье: какой продукт и версия оценивались, какие риски и требования применимы, как каждое требование выполнено или обосновано, какими испытаниями это подтверждается, какой маршрут оценки соответствия использован и что должно продолжаться после выпуска.

Ответственность за продукт и декларацию соответствия ЕС остаётся у производителя. Внешние консультанты, лаборатории и органы по оценке соответствия могут давать анализ и доказательства, но ответственность и контрольные точки должны быть закреплены во внутреннем процессе выпуска производителя.

Входной контроль: зафиксировать продукт, оператора, применимость и маршрут

До заказа испытаний нужно зафиксировать регуляторный объект: производителя, семейство и точные варианты продукта, версии ПО и прошивки, зависимости удалённой обработки данных, назначение и разумно предсказуемое использование, рынки, модель дистрибуции, сторонние компоненты и субъект, управляющий обновлениями и обработкой уязвимостей.

Затем определяется, подпадает ли продукт под CRA и относится ли он к обычным, важным класса I, важным класса II либо потенциально критическим продуктам. Классификация меняет допустимый маршрут оценки соответствия. Если применимость или класс неясны, это оформляется как открытое решение с доказательствами и ответственным лицом, а не прячется внутри задания лаборатории.

Операционный процесс от входного анализа до готовности к рынку

Испытания и доказательства: подтверждать оценку риска, а не искать универсальный «CRA-тест»

CRA не сводит соответствие к единому набору испытаний. Испытания следует определять исходя из оценки рисков продукта и применимых требований приложения I. В зависимости от продукта доказательства могут включать анализ архитектуры и безопасной конфигурации, проверку интерфейсов и аутентификации, сканирование уязвимостей, анализ зависимостей/SBOM, тестирование на проникновение, проверку механизма обновлений, сценарии неправильного и злоумышленного использования и проверку процессов обработки уязвимостей.

Для каждого испытания фиксируются версия и конфигурация, среда, метод, критерий приёмки, результат, исправление и статус повторной проверки. При внешней лаборатории сохраняются объём испытаний и техническое задание, чтобы отчёт можно было связать с конкретной версией, подготовленной к выпуску. Результат «пройдено» для неидентифицированной или устаревшей сборки — слабое доказательство соответствия.

Техническая документация и комплект для выпуска продукта

Техническое досье следует собирать одновременно с инженерными доказательствами, а не восстанавливать в конце. Практический комплект для выпуска обычно включает:

• идентификацию продукта, архитектуру и базовую версию/конфигурацию;
• оценку рисков кибербезопасности с назначением и разумно предсказуемым использованием;
• сопоставление применимых требований приложения I с мерами и доказательствами;
• сведения о проектировании/разработке и существенные доказательства по компонентам/зависимостям;
• отчёты испытаний, исправления и повторные проверки;
• процессы обработки уязвимостей и скоординированного раскрытия уязвимостей, механизм обновлений и поддержки безопасности;
• обоснование периода поддержки и требуемую информацию/инструкции пользователю;
• документы по выбранному маршруту оценки, декларацию соответствия ЕС и доказательства выпуска CE, где применимо.

По CRA техническая документация составляется до размещения продукта на рынке и при необходимости обновляется в течение периода поддержки. Производитель хранит техническую документацию и декларацию соответствия ЕС не менее десяти лет после размещения на рынке либо в течение периода поддержки — в зависимости от того, какой срок дольше.

Маршрут оценки соответствия и передача внешним провайдерам

Координацию внешних исполнителей следует оформлять как контролируемую передачу. До отправки материалов нотифицированному органу или иному поставщику услуг по оценке следует подтвердить его полномочия и объём оценки, согласовать язык и пакет подачи, зафиксировать оцениваемую версию и вести журнал запросов. В 2026 году инфраструктура оценки соответствия и стандарты CRA ещё разворачиваются, поэтому статус организации и применимые стандарты следует проверять по актуальным данным, а не по старым рекламным материалам.

Контроль выпуска, отчётность и управление изменениями

Готовность к рынку — это решение о выпуске, а не факт завершения тестов. На контрольной точке выпуска следует проверить, что выпускаемый продукт совпадает с оценённой базовой конфигурацией, документы соответствия утверждены, пользовательская информация и сведения о поддержке безопасности готовы, период поддержки определён, а ответственные после выпуска имеют доступ к системам приёма сообщений об уязвимостях, управления обновлениями и отчётности.

С 11 сентября 2026 года производители уже обязаны через единую платформу отчётности CRA (SRP) сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах, влияющих на безопасность продукта. Еврокомиссия указывает раннее предупреждение в течение 24 часов и полное уведомление в течение 72 часов; итоговый отчёт подаётся в сроки CRA для соответствующего типа события. Процесс следует отрепетировать заранее: кто подаёт, кто утверждает факты и как сохраняются инженерные доказательства.

После выпуска изменения кода, аппаратного обеспечения, зависимостей, криптографии, интерфейсов, удалённой обработки данных, назначения, поддержки или процессов обработки уязвимостей следует направлять на документированную оценку влияния. Вопрос не только в том, изменилась ли функция, но и в том, нужно ли обновлять оценку риска, доказательства, информацию пользователю или вывод о соответствии.

Типичные узкие места, которые задерживают готовность к CRA

• классификация не закрыта, но тесты уже начаты — в бюджет закладывается неправильный маршрут;
• варианты продукта, а также облачные зависимости и зависимости от удалённой обработки данных не контролируются по конфигурации;
• оценка рисков, SBOM и объём испытаний описывают разные версии;
• нет доказательств поставщиков по критичным для безопасности компонентам или зависимостям обновлений;
• исправления внесены в код, но доказательства исправления и повторной проверки не сохранены;
• период поддержки, приём сообщений об уязвимостях и ответственный за отчётность по инцидентам определяются только перед запуском;
• оценка третьей стороной бронируется до внутренней согласованности технического досье.

Что эта страница не заменяет

Если основной вопрос — выбор консультанта, структура управления или стратегический анализ пробелов, см. страницу о CRA-консультанте. Если нужен бюджет и факторы стоимости — страницу о стоимости CRA. Для механики CE по нескольким режимам — услуги маркировки CE. Здесь предметом является именно цепочка исполнения и передачи, которая превращает требования CRA в доказательный пакет, готовый к выпуску.