Понимание Закона о киберустойчивости: от соблюдения нормативных требований к киберустойчивости продуктов

Наш взгляд на Закон о киберустойчивости

Закон о киберустойчивости (CRA) становится ключевым столпом европейской нормативно-правовой базы в области кибербезопасности наряду с NIS 2, DORA и Актом о кибербезопасности 2. Тем не менее, CRA знаменует собой фундаментальный сдвиг. В то время как многие существующие структуры сосредоточены главным образом на обеспечении безопасности инфраструктур и операций регулируемых субъектов, CRA распространяет требования кибербезопасности непосредственно на цифровые продукты на протяжении всего их жизненного цикла.

В то время как Месяц кибербезопасности 2026 года подчеркивает необходимость опережать развивающиеся киберриски, CRA подкрепляет фундаментальный принцип: устойчивость начинается со встроенной в цифровые продукты с самого начала безопасности, которая поддерживается на протяжении всего их жизненного цикла.

Его сфера применения широка. Производителям, импортерам и дистрибьюторам потребуется доказать, что продукты с цифровыми элементами, размещаемые на европейском рынке, соответствуют определенным ожиданиям в области кибербезопасности, независимо от размера организации. От подключенных потребительских устройств до критически важных технологий, таких как смартфоны, принтеры, VPN и брандмауэры, CRA сформирует рынок объемом в несколько сотен миллиардов евро.

Первые обязательства вступают в силу в сентябре 2026 года, включая обязательную отчетность об инцидентах и активно эксплуатируемых уязвимостях перед компетентными органами. Несоблюдение требований может привести к финансовым штрафам в размере до 15 миллионов евро и, в наиболее тяжелых случаях, к изъятию несоответствующих требованиям продуктов с рынка.

Для организаций CRA — это не второстепенная тема соответствия требованиям. Это стратегический, операционный и коммерческий императив. Он требует от компаний внедрения кибербезопасности в продуктовую стратегию, инженерные практики, управление цепочками поставок и постпродажное обслуживание. Capgemini определила пять приоритетных задач, которые организации должны решить уже сейчас.

1. Превращение перегруженной повестки дня в области киберрегулирования в интегрированную дорожную карту

CRA добавляет еще один уровень сложности к и без того требовательной повестке дня в области регулирования кибербезопасности. Организации, уже мобилизованные вокруг NIS 2, DORA или отраслевых киберобязательств, теперь должны подходить к кибербезопасности не только на уровне корпоративной инфраструктуры, но и на уровне продуктов.

В условиях дублирующих друг друга нормативных актов задача состоит в том, чтобы избежать фрагментированных инициатив по соблюдению требований. Организациям необходима последовательная и упорядоченная дорожная карта, которая ограничивает дублирование, рационализирует инвестиции и создает синергию между регуляторными программами. Это требует тесного согласования между командами юристов, ИТ, бизнеса, разработки продуктов и кибербезопасности вокруг единой интегрированной программы соблюдения требований кибербезопасности.

2. Использование существующих стандартов для ускорения готовности к CRA

Применяя требования кибербезопасности на уровне продуктов, CRA опирается на существующий ландшафт промышленных стандартов и отраслевых структур. Во многих случаях продукты, уже разработанные в соответствии с признанными стандартами, могут частично соответствовать ожиданиям CRA по умолчанию.

Таким образом, первым приоритетом является сопоставление текущих стандартов, сертификатов и нормативных требований с требованиями CRA. Это позволяет организациям выявить реальные пробелы, направить ресурсы на продукты и возможности, требующие действий, и выстроить прагматичную траекторию соблюдения требований, а не начинать с чистого листа.

3. Уточнение ответственности по всей цепочке создания стоимости

Обязательства по CRA различаются в зависимости от роли, выполняемой в цепочке создания стоимости — производитель, импортер или дистрибьютор, — а также от критичности рассматриваемого продукта.

• Производители несут основную ответственность за разработку с учетом требований безопасности по умолчанию (secure-by-design), оценку рисков, обработку уязвимостей, выпуск обновлений безопасности и документацию по соответствию.
• Импортеры должны проверять соответствие продуктов, размещаемых на европейском рынке, и сотрудничать с властями при возникновении инцидентов или уязвимостей.
• Дистрибьюторы подлежат обязательствам по должной осмотрительности, в частности в отношении соответствия продукции, выявления уязвимостей и эскалации инцидентов.

Это разграничение становится более сложным, когда одна организация выполняет несколько ролей одновременно. Детальный анализ продуктового портфеля имеет решающее значение для определения применимых обязательств, путей сертификации, ответственных лиц и порядка взаимодействия с компетентными органами.

4. Расширение киберустойчивости продуктов по всей цепочке поставок

CRA подкрепляет разделение ответственности по всей цепочке поставок цифровых продуктов. Определение производителя может включать организации, которые проектируют, разрабатывают, вводят в эксплуатацию или выводят на рынок продукты под собственным именем, включая продукты, предоставляемые бесплатно.

Поэтому организации должны создать механизмы для:

• Выявления и управления рисками, возникающими от сторонних поставщиков, программных компонентов и встроенных технологий.
• Непрерывного мониторинга уязвимостей и обеспечения сводимого к минимуму времени устранения на протяжении всего жизненного цикла продукта.
• Координации отчетности об инцидентах, сбора доказательств и обмена информацией между поставщиками и партнерами.

Часто это требует пересмотра договорных структур для уточнения ответственности за кибербезопасность, обязанностей по уведомлению, ожиданий по устранению и требований нормативных доказательств, как и в других отраслевых стандартах, таких как ISO 21434 в автомобильном секторе. Управление цепочкой поставок будет все больше становиться ключевым компонентом соответствия CRA.

5. Индустриализация управления уязвимостями как функции продукта

В соответствии с CRA способность выявлять, оценивать, сообщать об уязвимостях и устранять их в сжатые сроки является важнейшей функцией продукта. Организациям понадобятся индустриализированные процессы и инструменты для централизации обнаружения уязвимостей, включая анализ кода, автоматизированное сканирование, мониторинг зависимостей и спецификации программного обеспечения (SBOM).

Эти возможности должны позволять оценивать влияние на бизнес и безопасность, расставлять приоритеты устранения на основе критичности продукта и его подверженности рискам, а также предоставлять доказательства, необходимые для демонстрации соответствия требованиям.

Помимо обнаружения, организации должны организовывать развертывание исправлений, поддерживать отслеживаемость и интегрировать управление уязвимостями в DevSecOps и операционные процессы. Киберустойчивость продуктов будет зависеть от способности перейти от периодического контроля соответствия к непрерывному управлению рисками на основе доказательств.

Предвосхищать, а не реагировать

Закон о киберустойчивости — это больше, чем новая нормативно-правовая база, поскольку он сигнализирует о структурном сдвиге в том, как организации должны подходить к кибербезопасности: не как к последующему контролю, а как к неотъемлемому свойству цифровых продуктов и экосистем, которые их поддерживают.

По мере приближения первых контрольных точек и введения значительных санкций организациям следует действовать уже сейчас, чтобы оценить подверженность рискам, уточнить ответственность, мобилизовать команды по разработке продуктов и безопасности и внедрить требования CRA в свою операционную модель. Те, кто предвосхитит регулирование, не только снизят риски соответствия; они укрепят доверие, устойчивость и конкурентоспособность на европейском цифровом рынке.