1. Определите продукт и ответственного оператора
Консультант по CRA должен определить охват продукта, юридическую роль компании и маршрут оценки соответствия до заказа лабораторных испытаний или подготовки декларации. Результат работы — обоснованное решение по каждой группе продуктов, а не универсальное предложение о сертификате.
Регламент (ЕС) 2024/2847 уже вступил в силу. Обязанности производителей по уведомлению об активно эксплуатируемых уязвимостях и серьёзных инцидентах действуют с 11 сентября 2026 года; основная часть остальных требований применяется с 11 декабря 2027 года. Эти этапы нельзя смешивать.
1. Определите продукт и ответственного оператора
Установите, что именно поставляется на рынок ЕС и кем. Маркетинговое определение «платформа» или «IoT» не решает вопрос применимости CRA.
- Составьте перечень аппаратных и программных продуктов, отдельно реализуемых компонентов, версий, назначения, интерфейсов и удалённой обработки данных, необходимой для работы продукта.
- Определите производителя, владельца бренда, импортёра и дистрибьютора; проверьте контрактную разработку и существенные изменения, не возлагая всё автоматически на фабрику.
- Проверьте коммерческий характер поставки, исключения и специальные нормы ЕС; для открытого ПО изучите фактическую модель деятельности, а не только тип лицензии.
2. Матрица маршрутов: категория не равна объёму испытаний
Сопоставьте основную функцию с приложением III (важные продукты) и приложением IV (критические продукты), учитывая технические определения Комиссии, до выбора процедуры по статье 32.
| Категория продукта | Стратегический маршрут оценки |
|---|---|
| Обычная категория | Допускается внутренний контроль по модулю A; внешняя лаборатория не обязательна автоматически. |
| Важные, класс I | Модуль A возможен при полном выполнении применимых условий о гармонизированных стандартах, общих спецификациях или допустимой сертификации; иначе требуется процедура с нотифицированным органом (B+C или H), если не применяется специальное отступление для свободного ПО с открытым исходным кодом по статье 32(5). |
| Важные, класс II | Планируйте B+C или H с участием нотифицированного органа либо прямо применимую схему сертификации кибербезопасности ЕС, если она предусмотрена правом; отдельно проверьте отступление для свободного ПО с открытым исходным кодом по статье 32(5). |
| Критические (приложение IV) | Исходите из участия нотифицированного органа; до утверждения маршрута проверьте статью 32 и наличие разрешённой альтернативы сертификации. |
Исключение для продуктов, отвечающих критериям свободного ПО с открытым исходным кодом: согласно статье 32(5), производители продуктов из приложения III вправе применять процедуры статьи 32(1), включая модуль A, при условии публичного доступа к технической документации по статье 31 на момент введения продукта в обращение. Это не общее освобождение от требований CRA.
Для класса I ссылка на проект стандарта или испытание отдельного пункта не доказывает право на модуль A. Зафиксируйте норму о категории, техническое основание и неопределённости.
3. Какие факты меняют рекомендацию
Выбор маршрута основан на классификации, а не на названии устройства или уже нанесённом знаке CE.
- Ключевая защитная функция: функция межсетевого экрана может быть важнее общего названия; интеграция компонента сама по себе не переклассифицирует конечный продукт.
- Модель выпуска и поставки: отдельно продаваемый компонент, встроенное ПО, зависимость от облака, некоммерческий открытый код и существенная модификация после выхода на рынок требуют разного анализа.
- Состояние стандартов: отличайте опубликованные гармонизированные стандарты с нужным охватом от проектов, добровольных стандартов и документов, не подтверждающих условие выбранного маршрута.
4. Анализ пробелов: каждому недостатку — решение
Сопоставляйте обязанности по приложению I с реальными мерами и доказательствами. Отсутствующий процесс и отсутствующий документ — разные проблемы.
| Пробел или фактор | Доказательство и решение |
|---|---|
| Неясная категория | Не фиксируйте маршрут; сначала получите архитектуру, назначение и анализ категории по приложениям. |
| Риски проектирования | Свяжите модель угроз, безопасные настройки, контроль доступа и испытания с оценкой киберрисков конкретного продукта. |
| Нет подтверждений надлежащей обработки уязвимостей | Проверьте ответственных за уведомления, приём сообщений, раскрытие, исправления, обновления и обоснование срока поддержки. |
| Слабая доказательная база | Сверьте перечень компонентов/SBOM, гарантии поставщиков, охват испытаний, версии и техническое досье; определите, что требуется обновить. |
Приоритет имеют пробелы, меняющие юридический маршрут или препятствующие управлению рисками. Отдельно фиксируйте пробел, ответственного, доказательство, решение и остаточную неопределённость.
5. Повторное использование доказательств без переноса чужих выводов
Имеющиеся отчёты о тестировании на проникновение, материалы ISO/IEC 27001, отчёты поставщиков и документация CE могут сократить повторную работу, но сами по себе не подтверждают соответствие CRA.
- Используйте отчёт повторно лишь для сопоставимых продукта/версии, риска, требования и метода; отметьте устаревший охват и необходимость повторного теста.
- Свяжите сторонние компоненты и программные зависимости с собственной оценкой производителя; сертификаты поставщиков не переносят автоматически юридическую ответственность.
- Согласуйте оценку рисков, техническую документацию и процессы обработки уязвимостей с выбранной процедурой соответствия.
6. Последовательность решений до исполнения
Стратегическая консультация должна завершаться проверяемым планом, а не обещанием автоматического одобрения.
- Создайте реестр продуктов, ролей и исключений; выделите открытые вопросы классификации.
- Подготовьте письменное заключение о маршруте со ссылками на приложения, статус стандартов и процедуру, включая необходимость нотифицированного органа.
- Расставьте приоритеты по приложению I, документации и процессам поддержки; назначьте команды и правила повторного использования доказательств.
- Отдельно обеспечьте механизм уведомлений, обязательный с 11 сентября 2026 года, затем планируйте соответствие к 11 декабря 2027 года с учётом переходных норм и модификаций каждого продукта.
7. Граница между консультацией и реализацией
Эта страница посвящена выбору маршрута до реализации. Внедрение, организация испытаний и подготовка технического досье составляют отдельный объём услуг; бюджетирование требует самостоятельного расчёта факторов затрат. До заказа работ запросите обоснование классификации и перечень нерешённых вопросов.
Практическое внедрение требований CRA · Стоимость и бюджет CRA
Официальные первичные источники
Частые вопросы
Подпадает ли сервер SaaS для клиентов ЕС автоматически под CRA?
Нет. Выясните, входит ли удалённая обработка данных в продукт с цифровыми элементами и необходима ли она для его функций. Самостоятельные услуги нельзя автоматически приравнивать к оборудованию; изучите архитектуру и договоры.
Всегда ли разрешена самооценка продукта класса I?
Нет. Проверьте условия статьи 32(2) о гармонизированных стандартах, общих спецификациях или применимой сертификации. Если они не выполнены, нужна подходящая процедура с нотифицированным органом, кроме случаев применения специального отступления по статье 32(5) для свободного ПО с открытым исходным кодом.
Исключает ли использование открытого кода готовый продукт из CRA?
Нет. Важны коммерческое размещение готового продукта и роль организации. Некоммерческая деятельность с открытым исходным кодом и организации, постоянно поддерживающие разработку свободного ПО с открытым исходным кодом, требуют отдельного анализа.
Что делать с устройствами, уже продаваемыми в ЕС?
Обязанности производителя по уведомлениям действуют с 11 сентября 2026 года, в том числе для подпадающих под них ранее доступных продуктов. Для требований 2027 года проверьте дату первого размещения, последующие существенные модификации и переходные нормы.
Заменяет ли пентест или сертификат ISO оценку CRA?
Нет. Допустимые доказательства можно использовать, но применимость, оценку рисков, условия маршрута, процедуру соответствия и обязанности жизненного цикла нужно подтвердить отдельно.