Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
EU Cyber Resilience Act
О документе
Регламент ЕС 2024/2847 (Cyber Resilience Act, CRA) — обязательный к прямому применению закон ЕС о кибербезопасности «продуктов с цифровыми элементами» (product with digital elements). Принят в 2024 году; основные обязанности производителей вступают в силу поэтапно к декабрю 2027 года (обязанность сообщать об активно эксплуатируемых уязвимостях — раньше). В отличие от американских указаний, CRA — это рыночное регулирование: маркировка CE, ответственность производителя, штрафы. Для SCA/OSA ключевы требования к управлению уязвимостями на протяжении периода поддержки и к прозрачности состава ПО (SBOM как часть техдокументации).
Ключевые требования
- Безопасность по умолчанию и по проектированию (Annex I, Part I): продукт поставляется без известных эксплуатируемых уязвимостей.
- SBOM как обязательная часть процесса: производитель формирует и поддерживает SBOM (минимум верхнего уровня зависимостей) в составе технической документации.
- Управление уязвимостями в течение support period (Annex I, Part II): выявление, документирование, устранение уязвимостей и бесплатные обновления безопасности.
- Обязательная отчётность: уведомление CSIRT/ENISA об активно эксплуатируемых уязвимостях и серьёзных инцидентах в установленные сроки (24 ч / 72 ч).
- Маркировка CE и техдокументация: соответствие подтверждается оценкой и хранением доказательной базы; нарушение влечёт оборотные штрафы.
Что считать evidence
- SBOM по продукту (минимум top-level зависимостей) в составе технической документации, с историей версий за весь support period.
- Процесс vulnerability handling: VDR/VEX, реестр устранённых и принятых уязвимостей, журнал выпуска обновлений безопасности.
- Доказательство «без известных эксплуатируемых уязвимостей» на момент поставки: отчёт SCA-сканирования релиза с триажем.
- Журнал координированного раскрытия и отчётности (даты уведомлений CSIRT/ENISA, привязка к инцидентам).
- Сводная матрица evidence для аудита, связывающая требования Annex I с артефактами SCA/OSA.
Маппинг на практики и шаблоны
- П08. Dependency-Track как портфель SBOM — поддержание SBOM и мониторинг уязвимостей за период поддержки.
- П09. VDR и VEX различие факта и решения, П35. VEX triage — vulnerability handling и обоснование статусов.
- П34. SBOM quality gate — проверка состояния «без известных эксплуатируемых уязвимостей» на релизе.
- Политика управления уязвимостями компонентов, Матрица evidence для аудита — операционализация Annex I.
- Модули: Модуль М06 (управление уязвимостями), Модуль М13 (трассировка и evidence).
- Региональный профиль реализации: BSI TR-03183-2 v2.1.0 (немецкая детализация SBOM под CRA).
Ограничение
Это учебная карточка, а не официальный текст. Точные обязанности, пороги отчётности и сроки переходных периодов сверяйте с официальным текстом Regulation (EU) 2024/2847 и сопутствующими актами ЕС.