Стоимость соблюдения CRA: как составить бюджет
Стоимость соблюдения CRA: как составить бюджет
Единой цены соблюдения Акта ЕС о киберустойчивости (CRA) или обязательной платы за сертификацию любого продукта не существует. Отдельно учитывайте работы по конкретному продукту, путь оценки соответствия и поддержку безопасности после выпуска. Маркировка CE не является покупным сертификатом CRA.
Существует ли официальная пошлина CRA?
Регламент (ЕС) 2024/2847 не устанавливает единого общеевропейского тарифа за внутреннюю оценку производителем или нанесение CE. Внутренний контроль не означает обязательной платной проверки нотифицированным органом. Если нужна независимая оценка, её стоимость определяют по конкретному объёму работ; испытания и консалтинг оплачиваются отдельно. Универсальная сумма в евро здесь намеренно не приводится: подтвердить её нельзя.
Обязанности по уведомлениям согласно статье 14 действуют с 11 сентября 2026 года, в том числе для ранее представленных на рынке ЕС продуктов. Большинство остальных требований применяется с 11 декабря 2027 года. В бюджете на 2026 год уже следует учитывать процессы уведомления.
Сначала определите категорию продукта: от неё зависит стоимость
По статье 32 проверьте основную функциональность продукта по приложениям III и IV и официальным техническим описаниям. Это ориентир для бюджета, а не окончательное юридическое заключение о классификации.
| Категория продукта | Возможный порядок оценки | Влияние на бюджет |
|---|---|---|
| Обычные продукты | Как правило, доступен внутренний контроль производителя (модуль A). | Анализ рисков, технические доказательства и документация; внешние испытания могут помочь, но не всегда обязательны. |
| Важные продукты класса I | Внутренний контроль возможен при применении надлежащих гармонизированных стандартов, общих спецификаций или соответствующей схемы ЕС по сертификации кибербезопасности; иначе требуется нотифицированный орган. Учитывайте особое исключение для открытого ПО. | До проверки маршрута предусмотрите два варианта сметы: самостоятельная оценка и внешняя оценка. |
| Важные продукты класса II / критические продукты | Оценка нотифицированным органом либо, когда это юридически предусмотрено и применимо, соответствующая схема ЕС по сертификации кибербезопасности. Проверьте исключение для отдельных важных продуктов с открытым кодом. | Уточните область оценки, модуль, версии и повторные испытания; одной декларации производителя может быть недостаточно. |
Составьте смету до запроса коммерческого предложения
Разделяйте разовые работы и затраты в течение жизненного цикла; для каждой строки укажите ответственного, объём и доказательства.
| Статья расходов | От чего зависит цена | Что запросить |
|---|---|---|
| Классификация и анализ пробелов | Назначение, ключевые функции, компоненты и существующие меры защиты. | Письменные границы работ, применимую процедуру оценки соответствия и допущения. |
| Устранение пробелов и техдосье | Безопасная разработка, риски, уязвимости, поставщики, инструкции. | Этапы, трудозатраты и критерии приёмки. |
| Проверки и повторные испытания | Интерфейсы, угрозы, среда тестирования, образцы, версии ПО и прошивок. | План, число образцов, устранение дефектов и стоимость повторной проверки. |
| Независимая оценка соответствия | Только если требует применимый порядок либо она выбрана; модули B+C и H различаются. | Полномочия органа по CRA, объём, результаты, надзор и изменение версии. |
| Производство и управление релизами | Заводы, подрядчики, варианты исполнения, выпуск обновлений. | Какие проверки площадок и процессов включены; аудит завода не универсален. |
| Кибербезопасность после вывода на рынок и роли в ЕС | Срок поддержки, мониторинг, обновления, уведомления, фактические услуги представителя или импортёра. | Годовой бюджет, ответственный, договорные обязанности. |
Три бюджетных сценария без гарантированных сумм
- Один обычный программный продукт с налаженной безопасной разработкой — Независимая оценка может не понадобиться; основные расходы — закрытие пробелов, доказательства и работа процессов обновления и уведомления.
- Продукт класса I с неопределённым охватом стандартами — Сравните два маршрута: допустимый внутренний контроль и независимую оценку при невыполнении условий. Сначала подтвердите применимость стандартов.
- Семейство подключённых устройств класса II с частыми обновлениями прошивки — Планируйте надлежащую независимую оценку либо доступную применимую схему, репрезентативные образцы и стоимость изменений и повторных проверок; обоснуйте общие доказательства для вариантов.
Какие сведения нужны для обоснованной сметы
Без перечисленных данных конкретная цена остаётся предварительным предположением, а не надёжным предложением.
- Изготовитель, товарный знак, способ поставки в ЕС, импортёр или представитель при наличии, распределение функций.
- Описание продукта, назначение, основные функции, связь, среда эксплуатации и рынки.
- Предполагаемый класс CRA с обоснованием; стандарты, общие спецификации или схема сертификации и проверка их применимости.
- Версии, модификации, поставщики, перечень программных компонентов (SBOM), сторонние и удалённые зависимости.
- Имеющиеся оценки рисков, испытания, реагирование, раскрытие уязвимостей, обновления и техническое досье.
- Срок поддержки, график релизов, возможные существенные изменения, образцы и ресурсы команды.
Порядок расходов и способы избежать повторной работы
- Зафиксируйте границы продукта и неопределённость охвата CRA; не начинайте с покупки сертификата.
- Определите правомерный путь оценки, актуальные стандарты и наличие схем; проверьте полномочия органа по нужной области.
- Повторно используйте достоверные доказательства безопасности; закажите работы только по подтверждённым пробелам.
- Письменно согласуйте готовность к испытаниям, версии, образцы, повторные проверки, изменения и исключения из цены.
- Отдельно зарезервируйте постоянные средства на мониторинг, исправления, поддержку и уведомления по статье 14.
Сравнение предложений и постоянные расходы
Попросите разделить фиксированные результаты, дополнительные услуги, внутренний труд, поездки и проверки площадок при обоснованной необходимости, повторные испытания, возможный надзор, налоги и сопровождение. Предложение «сертификат CRA за X евро» без класса и объёма оценки не позволяет сравнить цены.
Вопросы исполнения проекта рассмотрены в услугах по соблюдению CRA, стратегия и классификация — в консультации по классификации CRA, стоимость иных режимов CE — в стоимости маркировки CE. Это разные задачи, а не альтернативные прайсы на CRA.
Официальные источники
- Регламент (ЕС) 2024/2847: статья 32, статья 71, приложения
- Еврокомиссия: обзор CRA и оценка соответствия
- Еврокомиссия: уведомления об уязвимостях
Вопросы о стоимости соблюдения CRA
Есть ли единый платёж за CE или декларацию CRA?
Общей платы за нанесение CE или декларацию в CRA нет. Внутренняя работа стоит денег; нотифицированный орган может взимать плату за свою оценку.
Всегда ли нужны платные лабораторные испытания для класса I?
Не обязательно. Проверьте условия допустимого внутреннего контроля и необходимые доказательства соответствия. Независимые испытания могут быть полезны без прямой обязанности.
Можно ли оценить сразу семейство продуктов?
Только в той мере, в какой это допускает выбранная процедура, документально подтверждённые общие элементы конструкции и различия между моделями, а при участии органа по оценке соответствия — согласованная с ним область оценки. Отдельно учтите варианты продукта, изменения прошивки и возможные повторные испытания.
Обязан ли производитель вне ЕС нанимать уполномоченного представителя?
Не следует автоматически делать такой вывод. По CRA представитель может назначаться письменным поручением; функции импортёра и иных операторов зависят от фактической схемы поставки.
Зачем платить за обработку уязвимостей до декабря 2027 года?
Обязанности по уведомлениям статьи 14 действуют с 11 сентября 2026 года. Основные прочие требования применяются преимущественно с 11 декабря 2027 года.