Kepatuhan terhadap Undang-Undang Ketahanan Siber UE (CRA): Sebuah Panduan Komprehensif

Produk yang terhubung menjadi bagian dari hampir setiap kategori produk konsumen dan industri. Peralatan rumah tangga pintar, kamera keamanan, perangkat yang dapat dikenakan, peralatan jaringan, aplikasi seluler, perangkat lunak tertanam, dan produk yang terhubung ke cloud semuanya dapat menimbulkan risiko keamanan siber jika tidak dirancang, dipelihara, dan diperbarui dengan aman.

Uni Eropa telah menanggapi dengan Undang-Undang Ketahanan Siber, secara resmi dikenal sebagai Peraturan (UE) 2024/2847.

Undang-Undang Ketahanan Siber (Cyber ​​Resilience Act/CRA) memperkenalkan persyaratan keamanan siber wajib untuk produk perangkat keras dan perangkat lunak yang dipasarkan di Uni Eropa. Undang-undang ini mengubah keamanan siber dari praktik teknis yang sebagian besar bersifat sukarela menjadi kewajiban kepatuhan produk formal.

Para produsen harus menilai risiko keamanan siber, membangun keamanan ke dalam produk, mendokumentasikan kepatuhan mereka, mengelola kerentanan, menyediakan pembaruan keamanan dan, jika diperlukan, melaporkan kerentanan yang dieksploitasi secara aktif dan insiden keamanan serius.

Untuk banyak produk, kepatuhan terhadap CRA juga akan menjadi bagian dari proses pemberian tanda CE.

Apa itu Undang-Undang Ketahanan Siber Uni Eropa?

Undang-Undang Ketahanan Siber (Cyber ​​Resilience Act) adalah peraturan keamanan siber produk Uni Eropa yang bersifat horizontal. Peraturan ini berlaku secara luas untuk produk perangkat keras dan perangkat lunak dengan elemen digital yang dipasarkan di Uni Eropa.

Tujuan dari hal ini adalah untuk memastikan bahwa produk dikembangkan dengan aman dan tetap aman sepanjang masa pakainya. Selain itu, hal ini juga bertujuan untuk memberikan informasi yang lebih jelas kepada pengguna tentang keamanan produk, pembaruan yang tersedia, dan durasi dukungan keamanan siber.

CRA membahas dua masalah yang sering muncul di pasar produk digital:

1. Produk sering kali dipasarkan dengan pengamanan keamanan siber yang tidak memadai atau kerentanan yang diketahui.
2. Produsen mungkin tidak memberikan pembaruan keamanan, informasi kerentanan, atau dukungan purna jual yang memadai setelah produk terjual.

Berdasarkan CRA, produsen harus mempertimbangkan keamanan siber selama perencanaan, desain, pengembangan, produksi, pengiriman, dan pemeliharaan produk. Oleh karena itu, keamanan siber tidak lagi terbatas pada uji penetrasi akhir atau tinjauan pra-peluncuran. Keamanan siber harus diintegrasikan ke dalam siklus hidup produk.

Informasi lebih lanjut tersedia di Ringkasan Undang-Undang Ketahanan Siber Komisi Eropa.

Kapan Undang-Undang Ketahanan Siber Berlaku?

CRA mulai berlaku pada 10 Desember 2024, Namun, persyaratannya diterapkan secara bertahap.

• 11 Juni 2026: Ketentuan mengenai pemberitahuan kepada badan penilai kesesuaian mulai berlaku.
• 11 September 2026: Kewajiban pelaporan untuk kerentanan yang dieksploitasi secara aktif dan insiden keamanan serius mulai berlaku.
• 11 Desember 2027: Sebagian besar persyaratan CRA yang tersisa menjadi berlaku sepenuhnya.

Produk yang dipasarkan di Uni Eropa sebelum 11 Desember 2027 umumnya hanya tunduk pada persyaratan utama CRA jika mengalami modifikasi substansial setelah tanggal tersebut. Namun, kewajiban pelaporan yang berlaku mulai 11 September 2026 juga dapat memengaruhi produk yang telah tersedia di pasar Uni Eropa.

Para produsen sebaiknya tidak menunggu hingga Desember 2027 untuk mulai mempersiapkan diri. Membangun proses pengembangan yang aman, membuat Daftar Komponen Perangkat Lunak (Software Bill of Materials), menyelesaikan pengujian keamanan siber, dan menerapkan prosedur pelaporan kerentanan dapat memakan waktu yang cukup lama.

Produk apa saja yang dicakup oleh CRA?

CRA umumnya berlaku untuk produk dengan elemen digital yang tujuan penggunaannya atau penggunaan yang dapat diperkirakan secara wajar mencakup koneksi data logis atau fisik secara langsung atau tidak langsung ke suatu perangkat atau jaringan.

Produk dengan elemen digital dapat mencakup:

• Produk perangkat keras
• Produk perangkat lunak
• Komponen perangkat keras atau perangkat lunak dijual terpisah.
• Firmware tertanam
• Solusi pemrosesan data jarak jauh yang diperlukan agar produk dapat menjalankan salah satu fungsinya.

Pemrosesan data jarak jauh dapat mencakup layanan cloud yang dikendalikan oleh produsen, di mana ketiadaan layanan tersebut akan mencegah produk untuk menjalankan salah satu fungsi yang dimaksudkan.

Contoh Produk yang Berpotensi Dicakup

Tergantung pada fungsinya dan bagaimana produk tersebut dipasok, produk yang dicakup oleh CRA dapat meliputi:

• Perangkat Internet of Things
• Produk rumah pintar
• Peralatan rumah tangga yang terhubung
• Kamera keamanan pintar dan sistem alarm
• Kunci pintar
• Mainan yang terhubung
• Perangkat yang dapat dikenakan
• Router, modem, dan switch jaringan
• Komputer, ponsel pintar, dan tablet
• Perangkat penyimpanan eksternal
• Produk antarmuka jaringan
• Produk kontrol industri
• Sensor yang terhubung
• Sistem kontrol akses
• Sistem operasi
• Aplikasi seluler dan desktop
• Pengelola kata sandi
• Perangkat lunak jaringan pribadi virtual
• Firewall
• Perangkat lunak antivirus dan pendeteksi malware
• Perangkat lunak dan firmware tertanam
• Pustaka perangkat lunak dan komponen perangkat lunak komersial
• Permainan video dan perangkat lunak mandiri lainnya

Definisi ini sengaja dibuat luas. Suatu produk tidak harus terhubung langsung ke internet. Koneksi tidak langsung ke perangkat atau jaringan lain mungkin sudah cukup.

Sebagai contoh, produk berkemampuan Bluetooth yang terhubung ke aplikasi ponsel pintar mungkin termasuk dalam CRA meskipun produk itu sendiri tidak terhubung langsung ke internet.

Apakah CRA berlaku untuk perangkat lunak mandiri?

Ya. Perangkat lunak mandiri yang tersedia di pasar Uni Eropa dapat termasuk dalam cakupan CRA (Community Reinvestment Act).

Ini mungkin termasuk:

• Aplikasi seluler
• Aplikasi desktop
• Sistem operasi
• Perangkat lunak keamanan
• Pustaka perangkat lunak komersial
• Perangkat lunak manajemen perangkat
• Alat manajemen jaringan
• Perangkat lunak yang dijual melalui platform unduhan
• Perangkat lunak yang disediakan tanpa produk fisik terpisah.

Apakah perangkat lunak tercakup atau tidak bergantung pada bagaimana perangkat lunak tersebut dipasok, apakah perangkat lunak tersebut disediakan sebagai bagian dari kegiatan komersial, dan apakah pengecualian khusus berlaku.

Perangkat lunak yang disediakan sepenuhnya sebagai layanan mungkin memerlukan penilaian yang lebih rinci. CRA (Canadian Regulatory Authority) umumnya tidak mengatur setiap pengaturan perangkat lunak sebagai layanan, tetapi fungsionalitas pemrosesan data jarak jauh yang diperlukan agar produk yang tercakup dapat menjalankan salah satu fungsinya dapat menjadi bagian dari produk dengan elemen digital.

Produk apa saja yang dikecualikan?

Kategori produk tertentu dikecualikan atau diatur melalui peraturan perundang-undangan Uni Eropa khusus sektor lainnya.

Tergantung pada keadaannya, pengecualian dapat berlaku untuk produk yang tercakup dalam undang-undang yang mengatur:

• Alat kesehatan
• Perangkat medis diagnostik in vitro
• Penerbangan sipil
• Kendaraan bermotor
• Peralatan kelautan tertentu
• Produk yang dikembangkan khusus untuk tujuan keamanan nasional atau pertahanan.
• Perangkat lunak bebas dan sumber terbuka tertentu yang disediakan di luar aktivitas komersial.

Penanganan perangkat lunak sumber terbuka memerlukan perhatian khusus. Perangkat lunak yang tersedia di luar aktivitas komersial dapat dikecualikan, sementara produk sumber terbuka yang dipasok secara komersial dan pengelola perangkat lunak sumber terbuka tertentu dapat memiliki kewajiban kepada CRA (Community Reinvestment Act).

Suatu produk tidak boleh dianggap dikecualikan hanya karena tunduk pada hukum Uni Eropa lainnya. Produsen harus memeriksa apakah peraturan perundang-undangan lain tersebut secara khusus mencakup persyaratan keamanan siber yang relevan dan apakah CRA memberikan pengecualian penuh atau sebagian.

Siapakah yang termasuk produsen menurut CRA?

Produsen adalah orang perseorangan atau badan hukum yang mengembangkan, memproduksi, atau memiliki produk dengan elemen digital yang dirancang, dikembangkan, atau diproduksi, dan memasarkan produk tersebut dengan nama atau merek dagangnya sendiri.

Oleh karena itu, suatu perusahaan dapat dianggap sebagai produsen bahkan ketika:

• Produk fisik tersebut dibuat oleh pabrik pihak ketiga.
• Perangkat lunak ini dikembangkan oleh kontraktor eksternal.
• Firmware disediakan oleh perusahaan lain.
• Perusahaan tersebut mengimpor produk jadi dan menjualnya dengan merek sendiri.
• Pekerjaan pengembangan dialihdayakan kepada insinyur perangkat lunak atau penyedia layanan teknis.

Pengalihan tanggung jawab hukum produsen ke pihak luar tidak berarti pengalihan tanggung jawab hukum produsen ke pihak luar.

Perusahaan yang memasarkan produk dengan nama atau merek dagangnya sendiri harus memastikan bahwa produk lengkap, termasuk komponen perangkat lunak dan perangkat keras pihak ketiga, memenuhi persyaratan CRA.

Apa Saja Kewajiban Utama Produsen Terhadap CRA (Canadian Revenue Agency)?

Para produsen memikul tanggung jawab utama atas kepatuhan.

Sebelum memasarkan produk dengan elemen digital di pasar Uni Eropa, produsen umumnya harus:

1. Tentukan apakah produk tersebut termasuk dalam cakupan CRA (Canadian Risk Assessment).
2. Tentukan apakah produk tersebut merupakan produk standar, penting, atau kritis.
3. Lakukan penilaian risiko keamanan siber.
4. Merancang, mengembangkan, dan memproduksi produk sesuai dengan persyaratan keamanan siber yang penting.
5. Lakukan uji tuntas saat mengintegrasikan komponen pihak ketiga.
6. Tetapkan proses penanganan kerentanan.
7. Tentukan dan dokumentasikan periode dukungan produk.
8. Siapkan dokumentasi teknis yang diperlukan.
9. Lakukan penilaian kesesuaian yang sesuai.
10. Siapkan dan tandatangani Deklarasi Kesesuaian Uni Eropa.
11. Tempelkan tanda CE.
12. Berikan informasi produk dan petunjuk keamanan yang diperlukan.
13. Pantau kerentanan dan insiden setelah produk dipasarkan.
14. Berikan pembaruan keamanan selama masa dukungan.
15. Ambil tindakan korektif ketika suatu produk tidak sesuai atau menimbulkan risiko keamanan siber.
16. Penuhi tenggat waktu pelaporan kerentanan dan insiden yang berlaku.

Produsen harus mampu menunjukkan kepatuhan melalui catatan, prosedur, dan bukti teknis. Pernyataan umum bahwa suatu produk aman saja tidak akan cukup.

Persyaratan Keamanan Siber Esensial

Lampiran I dari CRA berisi persyaratan keamanan siber yang penting.

Persyaratan ini dibagi menjadi dua area utama:

• Properti keamanan siber produk
• Persyaratan penanganan kerentanan

Keamanan yang Dirancang Sejak Awal dan Secara Default

Produk harus dirancang, dikembangkan, dan diproduksi untuk memastikan tingkat keamanan siber yang sesuai berdasarkan risiko yang ada.

Tergantung pada produknya, hal ini mungkin memerlukan langkah-langkah yang meliputi:

• Konfigurasi default yang aman
• Autentikasi
• Kontrol akses
• Kerahasiaan
• Enkripsi
• Integritas data
• Ketersediaan layanan dan sistem
• Perlindungan terhadap akses tanpa izin
• Perlindungan terhadap manipulasi
• Pengurangan permukaan serangan
• Keterbatasan antarmuka yang terbuka
• Komunikasi yang aman
• Ketahanan terhadap serangan penolakan layanan (denial-of-service)
• Pencatatan dan pemantauan keamanan
• Penghapusan data yang aman
• Pengurangan pemrosesan data yang tidak perlu
• Perlindungan terhadap teknik serangan yang dikenal
• Mekanisme pembaruan yang aman
• Pemulihan dari insiden keamanan

Pengendalian yang tepat bergantung pada produk, tujuan penggunaannya, penyalahgunaan yang dapat diperkirakan secara wajar, lingkungan operasional, dan potensi konsekuensi dari serangan siber yang berhasil.

Tidak Ada Kerentanan yang Dapat Dieksploitasi yang Diketahui

Suatu produk tidak boleh dipasarkan jika diketahui memiliki kerentanan yang dapat dieksploitasi.

Hal ini membutuhkan lebih dari sekadar melakukan pengujian satu kali tepat sebelum peluncuran. Produsen memerlukan proses untuk mengidentifikasi, mengevaluasi, memprioritaskan, dan menyelesaikan kerentanan yang memengaruhi:

• Perangkat lunak berpemilik
• Firmware
• Sistem operasi
• Pustaka sumber terbuka
• Komponen perangkat lunak pihak ketiga
• Protokol komunikasi
• Komponen perangkat keras
• Ketergantungan cloud
• Aplikasi seluler
• Antarmuka pemrograman aplikasi

Pembaruan Aman

Jika pembaruan keamanan diperlukan, produsen harus menyediakannya tanpa penundaan dan umumnya gratis selama masa dukungan.

Untuk banyak produk, pembaruan keamanan seharusnya diinstal secara otomatis secara default jika secara teknis memungkinkan. Pengguna umumnya harus dapat menunda atau menonaktifkan instalasi otomatis melalui mekanisme yang jelas dan mudah diakses.

Pembaruan keamanan, jika memungkinkan, harus dipisahkan dari pembaruan fitur. Hal ini membantu mencegah pengguna dipaksa menerima perubahan fungsional yang tidak terkait hanya untuk menerima perbaikan keamanan yang penting.

Penilaian Risiko Keamanan Siber

Penilaian risiko keamanan siber adalah salah satu dokumen CRA (Corporate Risk Assessment) yang utama.

Ini bukan sekadar daftar periksa keamanan TI yang bersifat umum. Daftar periksa ini harus berkaitan dengan produk tertentu, komponennya, tujuan penggunaannya, penggunaan yang dapat diprediksi, pengguna, data, konektivitas, dan lingkungan operasinya.

Apa yang Harus Dicakup dalam Penilaian Risiko?

Penilaian risiko yang tepat dapat mempertimbangkan:

• Arsitektur produk
• Komponen perangkat keras dan perangkat lunak
• Teknologi komunikasi
• Antarmuka jaringan
• Layanan cloud
• Aplikasi seluler
• Peran dan hak akses pengguna
• Metode otentikasi
• Data yang diproses atau disimpan
• Enkripsi dan manajemen kunci
• Mekanisme pembaruan
• Ketergantungan pihak ketiga
• Aktor ancaman potensial
• Vektor serangan
• Kelemahan yang diketahui
• Penyalahgunaan yang dapat diprediksi
• Konsekuensi dari kompromi
• Kontrol keamanan yang ada
• Risiko residual
• Pengujian yang diperlukan
• Langkah-langkah penanganan kerentanan
• Pemantauan pasca-pemasaran

Kapan Penilaian Risiko Harus Diperbarui?

Penilaian tersebut harus menjadi dasar bagi desain dan pengembangan produk. Penilaian tersebut juga harus ditinjau ulang ketika terjadi perubahan signifikan, seperti:

• Pembaruan perangkat lunak besar-besaran
• Fungsi produk baru
• Perubahan pada arsitektur produk
• Integrasi komponen pihak ketiga baru
• Ancaman baru yang signifikan
• Penemuan kerentanan yang dieksploitasi secara aktif
• Perubahan pada tujuan penggunaan produk.
• Perubahan besar pada infrastruktur cloud atau jaringan.

Penilaian risiko merupakan bagian dari dokumentasi teknis dan dapat diminta oleh otoritas pengawasan pasar.

Daftar Material Perangkat Lunak

A Daftar Material Perangkat Lunak, Umumnya disebut sebagai SBOM, ini adalah inventaris terstruktur dari komponen perangkat lunak yang terdapat dalam suatu produk.

Informasi yang Umumnya Termasuk dalam SBOM

SBOM dapat mengidentifikasi:

• Modul perangkat lunak berpemilik
• Pustaka sumber terbuka
• Ketergantungan pihak ketiga
• Komponen firmware
• Nama komponen
• Versi komponen
• Pemasok
• Lisensi
• Hubungan ketergantungan
• Referensi kerentanan yang diketahui
• Pengidentifikasi paket

SBOM membantu produsen menentukan apakah produk mereka terpengaruh ketika kerentanan ditemukan pada komponen pihak ketiga.

Mengapa SBOM Harus Dipertahankan

Sebagai contoh, jika sebuah pustaka perangkat lunak yang banyak digunakan ditemukan mengandung kerentanan kritis, produsen harus dapat mengidentifikasinya dengan cepat:

• Produk mana yang menggunakan pustaka yang terpengaruh?
• Versi produk mana yang terpengaruh?
• Apakah fungsi yang rentan tersebut dapat dijangkau atau dieksploitasi
• Apakah pembaruan korektif diperlukan?
• Pelanggan atau pihak berwenang mana yang harus diinformasikan?
• Apakah kewajiban pelaporan CRA dipicu?

SBOM (Standard Business Materials/Model Komponen) tidak akan berguna jika hanya dibuat sekali dan tidak pernah diperbarui. Produsen membutuhkan kontrol versi dan proses untuk memeliharanya seiring perubahan perangkat lunak.

Persyaratan Penanganan Kerentanan

Kepatuhan terhadap CRA (Canadian Revenue Agency) berlanjut setelah produk dipasarkan.

Para produsen harus menetapkan proses untuk:

• Mengidentifikasi kerentanan
• Menerima laporan kerentanan
• Mendokumentasikan kerentanan
• Menilai tingkat keparahan dan potensi eksploitasinya
• Pantau kerentanan yang memengaruhi komponen pihak ketiga.
• Menguji dan meninjau keamanan produk.
• Perbaiki kerentanan tanpa penundaan.
• Distribusikan pembaruan keamanan dengan aman.
• Informasikan kepada pengguna tentang koreksi yang tersedia.
• Ungkapkan secara publik informasi tentang kerentanan yang telah diperbaiki jika diperlukan.
• Jaga kerahasiaan informasi kerentanan hingga perbaikan tersedia.
• Pertahankan kebijakan pengungkapan kerentanan yang terkoordinasi.

Pengungkapan Kerentanan Terkoordinasi

Para produsen harus menerbitkan metode yang jelas dan dipantau secara aktif agar para peneliti keamanan, pelanggan, dan pihak lain dapat melaporkan kerentanan.

Proses tersebut harus mengidentifikasi:

• Kontak pelapor
• Informasi yang harus diberikan oleh wartawan
• Proses pengakuan dari produsen
• Perkiraan waktu respons
• Ekspektasi kerahasiaan
• Bagaimana produsen mengoordinasikan pengungkapan
• Bagaimana peneliti keamanan akan diperlakukan
• Bagaimana koreksi dan pemberitahuan akan dipublikasikan

Kewajiban Pelaporan CRA Mulai September 2026

Kewajiban pelaporan berdasarkan Pasal 14 berlaku mulai 11 September 2026.

Para produsen wajib melaporkan kerentanan yang dieksploitasi secara aktif dan insiden serius tertentu melalui Platform Pelaporan Tunggal CRA yang dikelola oleh Badan Keamanan Siber Uni Eropa (ENISA).

Batas Waktu Pelaporan

Proses pelaporan umumnya meliputi:

• Pemberitahuan peringatan dini dalam waktu 24 jam
• Pemberitahuan yang lebih detail dalam waktu 72 jam.
• Laporan akhir dalam jangka waktu yang ditentukan oleh undang-undang.

Kerentanan yang Dieksploitasi Secara Aktif

Untuk kerentanan yang dieksploitasi secara aktif, laporan akhir umumnya diperlukan paling lambat 14 hari setelah tindakan perbaikan atau mitigasi tersedia.

Insiden Keamanan Serius

Untuk insiden keamanan yang serius, laporan akhir umumnya diperlukan dalam waktu satu bulan setelah pemberitahuan 72 jam.

Batas waktu pelaporan dimulai ketika produsen menyadari adanya kerentanan atau insiden yang relevan. Oleh karena itu, produsen memerlukan prosedur eskalasi internal yang memungkinkan informasi untuk sampai ke personel kepatuhan dan keamanan yang bertanggung jawab dengan cepat.

Kerentanan yang ditemukan oleh tim dukungan pelanggan, peneliti eksternal, distributor, pemasok perangkat lunak, atau kantor pengembangan di luar negeri dapat memicu proses pelaporan hukum yang sama seperti kerentanan yang ditemukan oleh tim keamanan siber pusat dari produsen.

Apa itu kerentanan yang dieksploitasi secara aktif?

Kerentanan yang dieksploitasi secara aktif bukanlah sekadar kelemahan teoretis atau setiap entri dalam basis data kerentanan.

Dalam praktiknya, produsen harus menilai apakah ada bukti yang dapat diandalkan bahwa pelaku jahat telah mengeksploitasi kerentanan dalam suatu sistem tanpa izin dari pemilik sistem.

Perbedaan ini penting karena kewajiban pelaporan CRA terkait dengan eksploitasi aktif, bukan hanya dengan keberadaan setiap potensi kerentanan.

Namun, sebagai bagian dari kewajiban penanganan kerentanan secara umum, produsen tetap harus mengidentifikasi, mengevaluasi, dan memperbaiki kerentanan yang tidak dieksploitasi secara aktif.

Masa Dukungan dan Pembaruan Keamanan

Para produsen harus menentukan periode dukungan di mana kerentanan akan ditangani dan pembaruan keamanan akan diberikan.

Faktor-faktor yang Mempengaruhi Periode Dukungan

Periode dukungan harus mencerminkan faktor-faktor seperti:

• Perkiraan jangka waktu penggunaan
• Sifat dan tujuan penggunaan produk
• Ekspektasi pengguna yang wajar
• Lingkungan pengoperasian
• Jangka waktu dukungan yang biasanya diberikan untuk produk serupa.
• Ketersediaan suku cadang atau layanan terkait.
• Risiko keamanan siber yang terkait dengan penghentian dukungan.

Tanggal berakhirnya masa dukungan, termasuk bulan dan tahun, harus dikomunikasikan dengan jelas kepada pengguna pada saat pembelian.

Para produsen harus menghindari memperlakukan masa dukungan sebagai pernyataan pemasaran tanpa dasar operasional. Mereka harus memiliki kemampuan teknis dan organisasi untuk memantau kerentanan, mengembangkan pembaruan, dan mendistribusikan pembaruan tersebut selama periode yang dinyatakan.

Pengaturan Pemasok Jangka Panjang

Hal ini mungkin memerlukan pengaturan jangka panjang dengan:

• Pengembang perangkat lunak
• Pemasok firmware
• Penyedia layanan cloud
• Produsen komponen
• Pengembang aplikasi seluler
• Layanan pemantauan keamanan siber
• Laboratorium pengujian
• Penyedia hosting dan infrastruktur

Informasi Produk dan Petunjuk Penggunaan

Produk yang dicakup oleh CRA harus disertai dengan informasi dan instruksi yang jelas.

Tergantung pada produknya, informasi yang perlu disertakan mungkin meliputi:

• Nama resmi produsen
• Nama dagang atau merek dagang terdaftar
• Alamat pos
• Alamat email atau kontak digital lainnya
• Jenis produk, batch, nomor seri, atau pengenal lainnya
• Tujuan yang dimaksudkan
• Fungsi produk penting
• Properti keamanan siber
• Petunjuk pemasangan yang aman.
• Petunjuk konfigurasi yang aman
• Petunjuk pengoperasian yang aman
• Informasi tentang pembaruan keamanan yang relevan
• Petunjuk untuk menginstal pembaruan
• Informasi tentang pembaruan otomatis
• Petunjuk untuk menonaktifkan pembaruan otomatis, jika berlaku.
• Tanggal berakhirnya periode dukungan
• Kontak pelaporan kerentanan
• Informasi pengungkapan kerentanan terkoordinasi
• Petunjuk untuk menghapus data pengguna dengan aman.
• Peringatan atau batasan keamanan siber yang relevan

Instruksi harus jelas, mudah dipahami, mudah dimengerti, dan mudah dibaca. Instruksi tersebut harus diberikan dalam bahasa yang mudah dipahami oleh pengguna dan otoritas terkait di Negara Anggota tempat produk tersebut dijual.

Dokumentasi Teknis

Produsen wajib menyiapkan dokumentasi teknis sebelum memasarkan produk yang tercakup dalam peraturan ini.

Berkas teknis harus menunjukkan bagaimana produk tersebut sesuai dengan CRA dan biasanya mencakup:

• Deskripsi produk umum
• Identifikasi produk
• Tujuan yang dimaksudkan
• Pengguna yang dituju
• Versi produk
• Arsitektur perangkat keras
• Arsitektur perangkat lunak
• Versi firmware dan perangkat lunak
• Antarmuka komunikasi
• Arsitektur jaringan
• Ketergantungan pemrosesan data jarak jauh
• Informasi desain dan pengembangan
• Penilaian risiko keamanan siber
• Penilaian persyaratan penting
• Standar terapan atau spesifikasi teknis
• Deskripsi kontrol keamanan
• Rencana pengujian dan laporan pengujian
• Penilaian kerentanan
• Laporan uji penetrasi, jika relevan.
• Daftar Material Perangkat Lunak
• Catatan pengembangan yang aman
• Prosedur pembaruan dan manajemen patch
• Prosedur penanganan kerentanan
• Kebijakan pengungkapan kerentanan terkoordinasi
• Pembenaran periode dukungan
• Label produk
• Instruksi pengguna
• Catatan penilaian kesesuaian
• Deklarasi Kesesuaian Uni Eropa
• Rincian badan yang diberi sertifikasi, jika ada.

Dokumentasi harus cukup spesifik agar pihak berwenang dapat menilai kesesuaian produk tersebut.

Kumpulan sertifikat tanpa kaitan yang jelas dengan produk, risiko, dan persyaratan CRA umumnya tidak akan dianggap sebagai berkas teknis yang memadai.

Klasifikasi Produk Berdasarkan CRA

CRA menggunakan jalur penilaian kesesuaian yang berbeda tergantung pada jenis dan profil risiko produk.

Produk secara umum termasuk dalam salah satu kelompok berikut:

• Produk standar
• Produk penting, Kelas I
• Produk penting, Kelas II
• Produk-produk penting

Klasifikasi tersebut bergantung pada apakah produk tersebut memiliki fungsi inti dari kategori yang tercantum dalam Lampiran III atau Lampiran IV.

Produk Default

Produk yang tidak diklasifikasikan sebagai penting atau kritis umumnya mengikuti jalur standar.

Produsen produk-produk ini biasanya dapat menggunakan pengendalian internal, yang juga dikenal sebagai Modul A, untuk menilai kesesuaian.

Ini tidak berarti bahwa tidak diperlukan penilaian atau pengujian sama sekali. Produsen tetap harus:

• Selesaikan penilaian risiko keamanan siber.
• Memenuhi persyaratan keamanan siber yang penting
• Siapkan dokumentasi teknis.
• Dapatkan bukti teknis yang sesuai.
• Lakukan pengujian yang diperlukan
• Tetapkan prosedur manajemen kerentanan
• Siapkan Deklarasi Kesesuaian Uni Eropa
• Tempelkan tanda CE

Penilaian mandiri berarti bahwa produsen bertanggung jawab atas penilaian kesesuaian. Hal ini tidak menghilangkan kewajiban teknis yang mendasarinya.

Produk Penting, Kelas I

Kelas I mencakup produk-produk tertentu yang memiliki fungsi keamanan siber yang signifikan atau yang jika terkompromikan dapat menimbulkan risiko keamanan yang lebih luas.

Tergantung pada fungsi intinya, contohnya dapat mencakup hal-hal berikut:

• Sistem manajemen identitas
• Produk manajemen akses istimewa
• Browser
• Pengelola kata sandi
• Produk antivirus
• Produk jaringan pribadi virtual
• Sistem manajemen jaringan
• Sistem manajemen informasi dan peristiwa keamanan
• Pengelola sepatu bot
• Produk infrastruktur kunci publik
• Sistem operasi
• Router, modem, dan switch
• Produk rumah pintar dengan fungsi keamanan
• Mikroprosesor dan mikrokontroler dengan fungsi terkait keamanan.

Untuk produk Kelas I, pengendalian internal mungkin tetap dimungkinkan jika produsen sepenuhnya menerapkan standar harmonisasi yang relevan, spesifikasi umum, atau skema sertifikasi keamanan siber Eropa yang berlaku.

Jika jalur tersebut tidak tersedia atau tidak diterapkan sepenuhnya, penilaian kesesuaian pihak ketiga melalui badan yang berwenang mungkin diperlukan.

Produk Penting, Kelas II

Kelas II mencakup produk-produk penting dengan risiko lebih tinggi.

Tergantung pada fungsi intinya, contohnya dapat mencakup hal-hal berikut:

• Hypervisor
• Sistem runtime kontainer
• Firewall
• Sistem deteksi intrusi
• Sistem pencegahan intrusi
• Mikroprosesor tahan terhadap perusakan
• Mikrokontroler tahan gangguan

Produk Kelas II umumnya memerlukan penilaian kesesuaian pihak ketiga melalui badan yang berwenang atau skema sertifikasi keamanan siber Eropa yang berlaku.

Produk Penting

Produk-produk kritis tercantum secara terpisah dalam Lampiran IV dan tunduk pada persyaratan penilaian kesesuaian yang paling ketat.

Produsen tidak boleh mengklasifikasikan suatu produk hanya berdasarkan nama komersialnya. Klasifikasi bergantung pada fungsi inti produk dan deskripsi teknis yang diadopsi berdasarkan CRA (Certified Regulatory Act).

Penilaian Kesesuaian

Sebelum memasarkan produk, produsen harus menyelesaikan prosedur penilaian kesesuaian yang sesuai.

Tergantung pada klasifikasinya, opsi yang berlaku dapat mencakup:

• Pengendalian internal
• Pemeriksaan tipe EU diikuti dengan kesesuaian dengan tipe tersebut.
• Jaminan kualitas penuh
• Penilaian pihak ketiga oleh badan yang berwenang.
• Skema sertifikasi keamanan siber Eropa yang berlaku

Ketersediaan penilaian mandiri bergantung pada kategori produk dan, untuk produk Kelas I tertentu, apakah standar harmonisasi yang relevan atau jalur kepatuhan lain yang diakui telah diterapkan sepenuhnya.

Para produsen harus menentukan jalur penilaian kesesuaian sejak dini. Menemukan di tahap akhir pengembangan produk bahwa keterlibatan badan pengawas diperlukan dapat menunda akses pasar.

Standar yang Harmonis

Standar Eropa yang terharmonisasi diharapkan memainkan peran penting dalam kepatuhan terhadap CRA (Canadian Revenue Agency).

Apabila suatu standar harmonisasi yang relevan dikutip dalam Jurnal Resmi Uni Eropa dan diterapkan dengan benar, hal itu dapat memberikan anggapan kesesuaian dengan persyaratan hukum yang terkait.

Sampai standar yang sesuai tersedia, produsen masih perlu menunjukkan kepatuhan melalui metode dan bukti teknis yang tepat.

Standar dan kerangka kerja keamanan siber yang relevan dan sudah ada dapat mendukung persiapan, tergantung pada produknya. Namun, penggunaan standar yang diakui tidak secara otomatis membuktikan kepatuhan terhadap setiap kewajiban CRA kecuali jika standar tersebut memiliki status hukum yang diperlukan dan mencakup persyaratan yang relevan.

Mendokumentasikan Penggunaan Standar

Produsen harus mendokumentasikan:

• Standar atau spesifikasi mana yang digunakan?
• Versi mana yang diterapkan?
• Persyaratan CRA mana yang dicakupnya?
• Baik diterapkan sepenuhnya atau sebagian
• Bagaimana persyaratan yang tidak terpenuhi ditangani?
• Tes atau penilaian apa yang telah diselesaikan?

Deklarasi Kesesuaian Uni Eropa

Setelah kesesuaian dibuktikan, produsen harus menyiapkan dan menandatangani Deklarasi Kesesuaian Uni Eropa.

Pernyataan tersebut menegaskan bahwa produsen bertanggung jawab atas kepatuhan produk terhadap persyaratan Uni Eropa yang berlaku.

Dokumen tersebut harus mencakup informasi yang dipersyaratkan oleh Lampiran V, seperti:

• Nama dan identifikasi produk
• Nama dan alamat produsen
• Pernyataan tanggung jawab
• Objek deklarasi
• Peraturan Uni Eropa yang berlaku
• Standar atau spesifikasi harmonisasi yang relevan
• Informasi badan yang diberi sertifikasi, jika berlaku.
• Informasi kesesuaian tambahan
• Tempat dan tanggal penerbitan
• Nama, jabatan, dan tanda tangan orang yang berwenang

Jika beberapa hukum Uni Eropa berlaku untuk produk yang sama, produsen biasanya dapat menyiapkan satu Deklarasi Kesesuaian Uni Eropa yang mencakup semua peraturan perundang-undangan yang berlaku.

Sebagai contoh, perangkat nirkabel yang terhubung juga dapat termasuk dalam lingkup Arahan Peralatan Radio, Arahan RoHS, persyaratan kompatibilitas elektromagnetik, dan peraturan perundang-undangan khusus produk lainnya.

Kewajiban Importir

Importir Uni Eropa yang memasarkan produk dari produsen non-Uni Eropa di pasar Uni Eropa harus memverifikasi bahwa produsen tersebut telah memenuhi kewajiban CRA yang berlaku.

Di antara hal-hal lainnya, importir harus memeriksa bahwa:

• Penilaian kesesuaian yang diperlukan telah diselesaikan.
• Dokumentasi teknis telah disiapkan.
• Deklarasi Kesesuaian Uni Eropa tersedia.
• Produk ini memiliki tanda CE.
• Identifikasi produk tersedia.
• Informasi produsen disediakan.
• Petunjuk penggunaan yang diperlukan disertakan bersama produk.
• Periode dukungan ditunjukkan
• Proses penanganan kerentanan telah diterapkan.

Jika importir meyakini bahwa produk tersebut tidak sesuai atau menimbulkan risiko keamanan siber yang signifikan, importir tidak boleh memasarkan produk tersebut sampai masalah tersebut teratasi.

Importir juga harus bekerja sama dengan pihak berwenang dan mungkin memiliki kewajiban ketika mereka mengetahui adanya kerentanan yang memengaruhi produk tersebut.

Kewajiban Distributor

Distributor wajib bertindak dengan penuh kehati-hatian saat memasarkan produk di pasar Uni Eropa.

Mereka harus memverifikasi elemen kepatuhan formal yang relevan, termasuk:

• Identifikasi produk
• Detail produsen dan importir
• Informasi pengguna yang diperlukan
• Instruksi keamanan
• Informasi periode dukungan

Distributor tidak boleh terus memasok produk yang diyakininya tidak sesuai dengan standar. Distributor juga mungkin perlu memberi tahu produsen atau importir dan bekerja sama dengan otoritas pengawasan pasar.

Perwakilan Resmi Uni Eropa

Produsen yang berlokasi di luar Uni Eropa dapat menunjuk seorang Perwakilan Resmi Uni Eropa melalui mandat tertulis.

Perwakilan Resmi dapat melaksanakan tugas-tugas regulasi tertentu atas nama produsen, seperti:

• Menjaga agar Deklarasi Kesesuaian Uni Eropa tetap tersedia.
• Menyediakan dokumentasi teknis bagi pihak berwenang.
• Menanggapi permintaan otoritas yang beralasan
• Memberikan informasi kepatuhan
• Bekerja sama dengan otoritas pengawasan pasar
• Mendukung ketertelusuran dan komunikasi regulasi.
• Memberitahukan kepada produsen tentang penyelidikan dari pihak berwenang.

Namun, penunjukan Perwakilan Resmi tidak mengalihkan tanggung jawab utama produsen atas produk tersebut.

Tanggung Jawab yang Tetap Berada di Pihak Produsen

Pihak produsen tetap bertanggung jawab atas:

• Desain dan pengembangan produk yang aman.
• Penilaian risiko keamanan siber
• Kepatuhan terhadap persyaratan penting
• Dokumentasi teknis
• Penilaian kesesuaian
• Manajemen kerentanan
• Pembaruan keamanan
• Pelaporan insiden
• Tindakan perbaikan
• Kepatuhan produk yang berkelanjutan

Modifikasi Substansial

Seseorang yang melakukan modifikasi substansial pada suatu produk dan kemudian memasarkan produk tersebut dapat memikul tanggung jawab produsen.

Suatu modifikasi dapat dianggap substansial apabila memengaruhi kepatuhan produk terhadap persyaratan keamanan siber yang penting atau mengubah tujuan penggunaannya.

Contoh-contoh Modifikasi yang Berpotensi Signifikan

• Menambahkan fungsionalitas terhubung utama
• Mengubah arsitektur otentikasi
• Mengganti sistem operasi
• Memperkenalkan platform cloud baru
• Menambahkan fungsi kendali jarak jauh
• Mengaktifkan antarmuka jaringan baru
• Melakukan perubahan signifikan pada perangkat lunak yang kritis terhadap keamanan.
• Mengubah kelompok pengguna yang dituju atau lingkungan pengoperasian.

Pembaruan keamanan rutin yang mengembalikan atau mempertahankan kesesuaian tidak boleh secara otomatis dianggap sebagai modifikasi substansial. Meskipun demikian, produsen dan operator hilir harus mendokumentasikan perubahan produk yang signifikan dan menilai dampaknya terhadap regulasi.

Pemantauan Pasca-Pemasaran dan Tindakan Korektif

Kepatuhan terhadap CRA (Canadian Revenue Agency) adalah kewajiban yang berkelanjutan.

Setelah memasarkan produk, produsen harus terus memantau informasi keamanan siber yang relevan.

Sumber Pemantauan Potensial

Sumber dapat mencakup:

• Pengujian keamanan internal
• Keluhan pelanggan
• Laporan kerentanan
• Peneliti keamanan
• Pemasok komponen
• Pemberitahuan keamanan sumber terbuka
• Basis data kerentanan
• Layanan intelijen ancaman
• Importir dan distributor
• Otoritas pengawasan pasar
• Tim Tanggap Insiden Keamanan Komputer
• Komunikasi ENISA

Kemungkinan Langkah Perbaikan

Jika suatu produk ditemukan tidak sesuai standar atau menimbulkan risiko keamanan siber, produsen mungkin perlu:

• Perbaiki produknya
• Terbitkan pembaruan keamanan.
• Berikan solusi alternatif
• Beri tahu pengguna yang terpengaruh
• Informasikan kepada importir dan distributor
• Beri tahu pihak berwenang terkait.
• Batasi ketersediaan produk
• Tarik produk tersebut
• Tarik kembali produk tersebut

Respons yang diberikan harus sebanding dengan risiko, tetapi tidak melakukan apa pun bukanlah strategi kepatuhan yang dapat diterima.

Retensi Catatan

Produsen wajib menyimpan dokumentasi teknis yang diperlukan dan Deklarasi Kesesuaian UE untuk jangka waktu yang berlaku sesuai dengan CRA.

Sistem penyimpanan arsip yang baik harus menyimpan:

• Versi produk
• Versi perangkat lunak
• Versi SBOM
• Versi penilaian risiko
• Laporan pengujian
• Keputusan kerentanan
• Peringatan keamanan
• Catatan tindakan korektif
• Perbarui riwayat
• Laporan insiden
• Komunikasi otoritas
• Pernyataan Kesesuaian

Kontrol versi sangat penting. Pihak berwenang mungkin perlu menentukan perangkat lunak, komponen, dan bukti kepatuhan mana yang berlaku untuk versi produk tertentu pada waktu tertentu.

Sanksi untuk Ketidakpatuhan

CRA (Canadian Revenue Agency) menetapkan denda administratif yang besar.

Tergantung pada pelanggarannya, hukumannya dapat mencapai:

• Hingga €15 juta atau 2,5% dari total omset tahunan di seluruh dunia, mana pun yang lebih tinggi, untuk pelanggaran serius tertentu.
• Hingga €10 jutaan atau 2% dari omset tahunan di seluruh dunia, mana pun yang lebih tinggi, untuk kewajiban lainnya
• Hingga €5 jutaan atau 1% dari omset tahunan di seluruh dunia, mana pun yang lebih tinggi, karena memberikan informasi yang salah, tidak lengkap, atau menyesatkan kepada badan yang berwenang atau otoritas pengawasan pasar.

Pihak berwenang juga dapat memerintahkan tindakan korektif, membatasi atau melarang penjualan produk, mewajibkan penarikan atau memerintahkan penarikan kembali produk.

Oleh karena itu, konsekuensi komersialnya dapat meluas melampaui denda itu sendiri. Ketidakpatuhan dapat memengaruhi akses ke distributor Uni Eropa, pasar online, pengecer, pelanggan, program pengadaan, dan cakupan asuransi.

Panduan Praktis Kepatuhan CRA

Langkah 1: Konfirmasi Lingkup Produk

Tentukan apakah produk tersebut merupakan produk dengan elemen digital dan apakah berlaku pengecualian.

Dokumen:

• Produk
• Perangkat lunak dan firmware
• Konektivitas
• Fungsi pemrosesan data jarak jauh
• Tujuan yang dimaksudkan
• Model pasokan komersial
• Pengecualian yang berlaku

Langkah 2: Klasifikasi Produk

Tentukan apakah produk tersebut:

• Produk standar
• Kelas Penting I
• Kelas II Penting
• Kritis

Klasifikasi tersebut menentukan jalur penilaian kesesuaian.

Langkah 3: Memetakan Rantai Pasokan dan Tanggung Jawab

Mengenali:

• Produsen legal
• Pengembang perangkat lunak
• Produsen perangkat keras
• Pemasok komponen
• Penyedia layanan cloud
• importir Uni Eropa
• Distributor
• Perwakilan Resmi Uni Eropa
• Penyedia pengujian
• Badan yang berwenang, jika diperlukan.

Tanggung jawab kontraktual harus mendukung kewajiban hukum produsen.

Langkah 4: Lakukan Penilaian Risiko Keamanan Siber

Mengidentifikasi ancaman keamanan siber, kerentanan, dampak yang mungkin terjadi, dan kontrol yang diperlukan.

Penilaian tersebut harus mencakup keseluruhan produk, termasuk komponen eksternal dan ketergantungan pada cloud.

Langkah 5: Petakan Persyaratan Esensial

Buat matriks kepatuhan yang menghubungkan setiap persyaratan CRA yang berlaku dengan:

• Pengendalian produk
• Spesifikasi desain
• Prosedur
• Hasil tes
• Dokumen teknis
• Orang yang bertanggung jawab
• Tindakan luar biasa

Langkah 6: Membangun Siklus Pengembangan yang Aman

Dokumentasikan bagaimana keamanan siber dikelola selama:

• Definisi persyaratan
• Arsitektur
• Perkembangan
• Tinjauan kode
• Pemilihan komponen
• Pengujian
• Melepaskan
• Pemeliharaan
• Perbaikan kerentanan
• Akhir hayat

Langkah 7: Menyiapkan dan Memelihara SBOM

Identifikasi semua komponen perangkat lunak yang relevan dan tetapkan proses untuk memantau kerentanan yang memengaruhinya.

Langkah 8: Menyelesaikan Pengujian Teknis

Tergantung pada produk dan risikonya, pengujian dapat meliputi:

• Pemindaian kerentanan
• Pengujian penetrasi
• Analisis kode sumber
• Analisis komposisi perangkat lunak
• Pengujian otentikasi
• Tinjauan enkripsi
• Pengujian antarmuka
• Pengujian mekanisme pembaruan
• Pengujian fuzz
• Pengujian keamanan jaringan
• Pengujian ketahanan
• Tinjauan konfigurasi aman

Pengujian harus didasarkan pada penilaian risiko dan jalur kesesuaian.

Langkah 9: Tetapkan Prosedur Kerentanan dan Insiden

Siapkan prosedur untuk:

• Menerima laporan
• Triase
• Penilaian tingkat keparahan
• Eskalasi
• Perbaikan
• Penyingkapan
• Komunikasi pengguna
• Pelaporan ENISA
• Komunikasi otoritas
• Tindakan perbaikan

Langkah 10: Menentukan Periode Dukungan

Jelaskan dan berikan justifikasi mengenai berapa lama produsen akan menyediakan penanganan kerentanan dan pembaruan keamanan.

Pastikan pemasok teknis dan sumber daya pengembangan tetap tersedia selama periode tersebut.

Langkah 11: Siapkan Informasi Pengguna dan Pelabelan

Tinjauan:

• Identifikasi produk
• Informasi produsen
• Informasi importir
• Tanda CE
• Instruksi keamanan
• Instruksi pembaruan
• Kontak kerentanan
• Tanggal berakhirnya dukungan
• Instruksi penghapusan data yang aman

Langkah 12: Menyusun Dokumentasi Teknis

Susun bukti-bukti tersebut ke dalam berkas teknis CRA yang terstruktur.

Langkah 13: Selesaikan Penilaian Kesesuaian

Gunakan pengendalian internal, badan yang berwenang, atau jalur lain yang diizinkan sesuai dengan klasifikasi produk.

Langkah 14: Menandatangani Deklarasi Kesesuaian Uni Eropa

Produsen wajib menandatangani deklarasi hanya setelah penilaian yang berlaku telah selesai dan kesesuaian telah dibuktikan.

Langkah 15: Mempertahankan Kepatuhan Pasca-Pemasaran

Memantau kerentanan, memberikan pembaruan, melaporkan kejadian yang relevan, dan memperbarui dokumentasi ketika produk berubah.

Kesalahan Umum Kepatuhan CRA

Memperlakukan CRA sebagai Sertifikasi Sekali Saja

CRA mewajibkan penanganan kerentanan yang berkelanjutan, pembaruan keamanan, pemantauan, dan tindakan korektif.

Dengan asumsi semua produk dapat disertifikasi sendiri.

Produk Kelas II yang penting dan produk kritis umumnya memerlukan penilaian pihak ketiga. Produk Kelas I mungkin juga memerlukan keterlibatan badan sertifikasi jika spesifikasi yang diakui tidak sepenuhnya diterapkan.

Hanya Mengandalkan Pengujian Penetrasi

Pengujian penetrasi dapat memberikan bukti yang berguna, tetapi tidak menggantikan penilaian risiko, proses pengembangan yang aman, prosedur kerentanan, dokumentasi teknis, atau kewajiban dukungan.

Mengabaikan Komponen Pihak Ketiga

Pihak produsen tetap bertanggung jawab untuk menilai risiko yang ditimbulkan oleh pustaka terintegrasi, firmware, chipset, sistem operasi, dan layanan cloud.

Membuat SBOM Tanpa Memantaunya

Daftar komponen yang sudah usang tidak menyediakan sistem manajemen kerentanan yang efektif.

Menetapkan Periode Dukungan yang Tidak Realistis

Produsen harus mampu menyediakan pembaruan keamanan dan menangani kerentanan selama periode yang dinyatakan.

Kegagalan Menghubungkan Tim Teknis dengan Tim Regulasi

Batas waktu pelaporan 24 jam membutuhkan komunikasi internal yang cepat. Tim layanan pelanggan, teknik, hukum, kepatuhan, dan manajemen harus memahami jalur eskalasi.

Menunggu Standar yang Harmonis Sebelum Bertindak

Para produsen tetap bertanggung jawab atas kepatuhan meskipun standar dan panduan pendukung terus dikembangkan.

Bagaimana EaseCert Mendukung Kepatuhan CRA

EaseCert menyediakan Perwakilan Resmi dan Layanan Kepatuhan Undang-Undang Ketahanan Siber Uni Eropa untuk produsen produk dengan elemen digital.

Layanan ini dirancang khusus untuk produsen yang berlokasi di luar Uni Eropa yang membutuhkan dukungan kepatuhan regulasi dan Perwakilan Resmi yang berbasis di Uni Eropa.

Layanan Kepatuhan CRA EaseCert

Layanan kami meliputi:

• Penilaian penerapan CRA
• Tinjauan ruang lingkup produk dan perangkat lunak
• Tinjauan klasifikasi produk
• Tinjauan terhadap jalur penilaian kesesuaian
• Tinjauan terhadap dokumentasi teknis yang ada.
• Tinjauan dokumentasi keamanan siber
• Analisis kesenjangan kepatuhan keamanan siber
• Tinjauan siklus hidup pengembangan perangkat lunak yang aman.
• Tinjauan identifikasi dan ketertelusuran produk
• Tinjauan label dan informasi penandaan CE
• Tinjauan dokumentasi pengguna dan petunjuk keamanan
• Tinjauan prosedur penanganan kerentanan
• Tinjauan prosedur pembaruan dan pemeliharaan perangkat lunak
• Tinjauan Daftar Material Perangkat Lunak
• Tinjauan dokumentasi periode dukungan
• Tinjauan Deklarasi Kesesuaian Uni Eropa
• Laporan kepatuhan tertulis dan rekomendasi
• Mandat tertulis dari Perwakilan Resmi Uni Eropa
• Penunjukan EaseCert GmbH sebagai Perwakilan Resmi Uni Eropa
• Penyimpanan Deklarasi Kesesuaian UE dan dokumentasi teknis.
• Kontak regulasi berbasis Uni Eropa
• Memberikan dukungan terkait permintaan otoritas pengawasan pasar.
• Pedoman regulasi sepanjang proyek

Jika pengujian keamanan siber teknis diperlukan, EaseCert dapat membantu menentukan ruang lingkup pengujian dan berkoordinasi dengan laboratorium keamanan siber atau penyedia teknis yang berkualifikasi.

EaseCert tidak melakukan pengujian penetrasi, analisis kode sumber, atau pengujian keamanan siber di laboratorium dan tidak bertindak sebagai badan yang diberi wewenang. Produsen tetap bertanggung jawab atas keamanan siber produk, penilaian kesesuaian, akurasi teknis, penanganan kerentanan, pembaruan, pelaporan, dan kepatuhan berkelanjutan.

Peran Perwakilan Resmi EaseCert di Uni Eropa

Untuk produk-produk yang diterima dan diproduksi di luar Uni Eropa, EaseCert GmbH dapat bertindak sebagai... Perwakilan Resmi Uni Eropa.

Dalam mandat yang telah disepakati, EaseCert dapat:

• Simpan Deklarasi Kesesuaian Uni Eropa agar dapat diakses oleh pihak berwenang.
• Sediakan dokumentasi teknis yang diperlukan.
• Tanggapi permintaan informasi kepatuhan yang beralasan.
• Bekerja sama dengan otoritas pengawasan pasar.
• Mendukung pemeriksaan ketertelusuran
• Mendukung komunikasi regulasi
• Beri tahu produsen tentang penyelidikan dari pihak berwenang terkait.

Penunjukan tersebut berlaku efektif setelah peninjauan dokumen selesai, produk diterima oleh EaseCert, dan mandat tertulis ditandatangani oleh kedua belah pihak.

Dapatkan Dukungan Kepatuhan CRA dan Perwakilan Uni Eropa

Mulailah mempersiapkan diri untuk CRA.

Undang-Undang Ketahanan Siber menciptakan kerangka kepatuhan baru untuk perangkat keras yang terhubung, perangkat lunak mandiri, perangkat lunak tertanam, dan komponen digital.

Bagi para produsen, tantangan terbesar bukanlah sekadar menyiapkan Deklarasi Kesesuaian. Kepatuhan membutuhkan koordinasi antara pengembangan produk, keamanan siber, jaminan mutu, urusan regulasi, dukungan pelanggan, manajemen rantai pasokan, dan manajemen senior.

Empat Pertanyaan yang Harus Dijawab Produsen

1. Apakah CRA berlaku untuk produk kami?
2. Jalur klasifikasi produk dan penilaian kesesuaian mana yang berlaku?
3. Apakah kita memiliki bukti keamanan siber dan dokumentasi teknis yang memadai?
4. Bisakah kita memantau, memperbarui, dan mendukung produk tersebut selama masa dukungan yang telah ditentukan?

Produsen yang berlokasi di luar Uni Eropa juga harus menentukan apakah mereka memerlukan Perwakilan Resmi Uni Eropa dan bagaimana mereka akan mengelola permintaan dari otoritas pengawasan pasar Uni Eropa.

EaseCert mendukung produsen internasional dengan tinjauan penerapan CRA, penilaian kesenjangan kepatuhan, tinjauan dokumentasi teknis, dan layanan Perwakilan Resmi Uni Eropa.

Lihat Perwakilan Resmi dan Layanan Kepatuhan EaseCert untuk Undang-Undang Ketahanan Siber Uni Eropa.

Sumber Resmi dan Bacaan Lebih Lanjut

Sumber-sumber resmi Uni Eropa berikut menyediakan teks hukum, panduan implementasi, dan informasi pendukung terkait Undang-Undang Ketahanan Siber Uni Eropa:

• Peraturan (EU) 2024/2847, Undang-Undang Ketahanan Siber
  Teks resmi dan mengikat secara hukum dari Undang-Undang Ketahanan Siber yang diterbitkan dalam Jurnal Resmi Uni Eropa.
• Komisi Eropa: Undang-Undang Ketahanan Siber
  Halaman kebijakan utama Komisi Eropa yang mencakup tujuan, cakupan, implementasi, dan dampak yang diharapkan dari Undang-Undang Ketahanan Siber.
• Komisi Eropa: Ringkasan Teks Legislatif Undang-Undang Ketahanan Siber
  Ringkasan resmi persyaratan CRA, termasuk ruang lingkup produk, kewajiban operator ekonomi, penilaian kesesuaian, dan tanggal implementasi.
• Komisi Eropa: Pertanyaan yang Sering Diajukan tentang Implementasi Undang-Undang Ketahanan Siber
  Jawaban resmi atas pertanyaan praktis mengenai ruang lingkup produk, perangkat lunak, pemrosesan data jarak jauh, periode dukungan, pelaporan, dan implementasi.
• Komisi Eropa: Implementasi Undang-Undang Ketahanan Siber
  Gambaran umum proses implementasi CRA, termasuk panduan, kegiatan standardisasi, dan sumber daya untuk produsen dan pemangku kepentingan lainnya.
• ENISA: Platform Pelaporan Tunggal Undang-Undang Ketahanan Siber
  Informasi resmi tentang platform yang akan digunakan produsen untuk melaporkan kerentanan yang dieksploitasi secara aktif dan insiden keamanan serius mulai 11 September 2026.
• ENISA: Pemetaan Standar Persyaratan Undang-Undang Ketahanan Siber
  Sebuah studi ENISA yang memetakan standar keamanan siber yang ada terhadap persyaratan CRA dan mengidentifikasi area yang membutuhkan standardisasi lebih lanjut.
• ENISA: Implementasi Undang-Undang Ketahanan Siber Melalui Skema Sertifikasi Keamanan Siber Uni Eropa
  Sebuah studi resmi yang meneliti bagaimana Skema Sertifikasi Keamanan Siber berbasis Kriteria Umum Eropa dapat mendukung penilaian kesesuaian CRA.

Artikel ini memberikan informasi peraturan umum dan bukan merupakan nasihat hukum. Lingkup produk, klasifikasi, penilaian kesesuaian, dan persyaratan dokumentasi harus dievaluasi untuk setiap produk secara individual.