Είναι η επιχείρησή σας έτοιμη να ανταποκριθεί στις υποχρεώσεις του CRA;

Από τις 11 Σεπτεμβρίου 2026 εφαρμόζονται οι υποχρεώσεις αναφοράς για ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια προϊόντων με ψηφιακά στοιχεία. Η αρχική αναφορά πρέπει να υποβληθεί εντός 24 ωρών από τη στιγμή που ο κατασκευαστής λαμβάνει γνώση. Για να ανταποκριθεί σε αυτή την προθεσμία, ένας οργανισμός χρειάζεται να μπορεί να εντοπίσει και να αξιολογήσει το περιστατικό, να γνωρίζει ποιοι είναι υπεύθυνοι και να ενεργοποιήσει εγκαίρως τις κατάλληλες διαδικασίες.

Στο άρθρο που δημοσιεύθηκε στο νέο τεύχος (vol96) του IT Security Pro, η Άννυ Μαρμαροτούρη, Marketing Manager της AXIA CERT, εξετάζει τη σχέση του Cyber Resilience Act (CRA) με το πρότυπο ISO/IEC 27001:2022 και εξηγεί πως η πιστοποίηση ενός συστήματος διαχείρισης συνδέεται με τη συμμόρφωση ενός προϊόντος.

Τι απαιτεί ο CRA από τους κατασκευαστές;

Ο CRA είναι ευρωπαϊκός κανονισμός για προϊόντα με ψηφιακά στοιχεία. Οι κατασκευαστές καλούνται να διαχειρίζονται τους κινδύνους κυβερνοασφάλειας σε όλο τον κύκλο ζωής του προϊόντος: από τον σχεδιασμό και την αξιολόγηση συμμόρφωσης έως τη διαχείριση ευπαθειών και την παροχή ενημερώσεων ασφαλείας.

Πιστοποιεί το ISO/IEC 27001 τη συμμόρφωση ενός προϊόντος με τον CRA;

Όχι. Το ISO/IEC 27001 αφορά το Σύστημα Διαχείρισης Ασφάλειας Πληροφοριών ενός οργανισμού. Η πιστοποίησή του δεν αποτελεί αξιολόγηση συγκεκριμένου προϊόντος έναντι του CRA, δεν επιβεβαιώνει από μόνη της ότι έχουν καλυφθεί οι απαιτήσεις του Κανονισμού και δεν παρέχει αυτομάτως δικαίωμα χρήσης της σήμανσης CE.

Πώς μπορούν τα δύο πλαίσια να λειτουργήσουν συμπληρωματικά;

Ένα ώριμο Σύστημα Διαχείρισης μπορεί να προσφέρει στον οργανισμό μια χρήσιμη βάση: σαφείς ρόλους, μεθοδολογία αξιολόγησης κινδύνων, διαχείριση προμηθευτών, διαδικασίες αντιμετώπισης περιστατικών και χειρισμού ευπαθειών. Για να υποστηρίξει την ετοιμότητα για τον CRA, όμως, χρειάζεται να συνδέεται με τα συγκεκριμένα προϊόντα, τα εξαρτήματά τους και τις εκδόσεις λογισμικού.

Γιατί αξίζει να διαβάσετε το άρθρο;

Το άρθρο ξεκαθαρίζει τι αποδεικνύει η πιστοποίηση ISO/IEC 27001 και ποιες πρόσθετες ενέργειες χρειάζονται για τη συμμόρφωση των προϊόντων με τον CRA. Παράλληλα, αναδεικνύει γιατί η σχετική ετοιμότητα απαιτεί συνεργασία ανάμεσα στις ομάδες ανάπτυξης, ασφάλειας πληροφοριών, συμμόρφωσης και διοίκησης.

Η πιστοποίηση ISO/IEC 27001 μπορεί να αποτελέσει ισχυρή οργανωτική αφετηρία. Η συμμόρφωση, όμως, κρίνεται με βάση τις απαιτήσεις και τα χαρακτηριστικά κάθε προϊόντος.

Διαβάστε το πλήρες άρθρο στο IT Security Pro:
CRA και ISO/IEC 27001: Πού τελειώνει η πιστοποίηση και πού αρχίζει η συμμόρφωση του προϊόντος;