EaseCert | GPSR Compliance
Perwakilan Resmi dan Layanan Kepatuhan UU Ketahanan Siber UE
Perwakilan Resmi dan Layanan Kepatuhan UU Ketahanan Siber UE
Tidak bisa memuat ketersediaan pickup
Kepatuhan Keamanan Siber Uni Eropa dan Perwakilan Resmi
EaseCert mendukung para produsen dalam kepatuhan terhadap Undang-Undang Ketahanan Siber Uni Eropa (CRA) dan bertindak sebagai Perwakilan Resmi Uni Eropa mereka untuk produk-produk dengan elemen digital yang tercakup dalam ruang lingkup layanan yang disepakati.
Undang-Undang Ketahanan Siber memperkenalkan persyaratan keamanan siber wajib untuk produk dengan elemen digital yang dipasarkan di Uni Eropa. Produsen harus menangani keamanan siber sepanjang siklus hidup produk, memelihara dokumentasi teknis, menetapkan prosedur penanganan kerentanan, menyediakan pembaruan keamanan, dan memenuhi kewajiban pelaporan dan pasca-pemasaran yang berlaku.
Layanan ini dirancang untuk produsen yang berlokasi di luar Uni Eropa yang membutuhkan dukungan kepatuhan CRA dan Perwakilan Resmi yang berbasis di Uni Eropa.
Setelah peninjauan dokumentasi selesai dan mandat tertulis ditandatangani, EaseCert GmbH ditunjuk sebagai Perwakilan Resmi Uni Eropa dari produsen tersebut berdasarkan Undang-Undang Ketahanan Siber.
Dalam lingkup mandat tersebut, EaseCert:
- Bertindak sebagai kontak regulasi berbasis Uni Eropa untuk produk-produk yang tercakup.
- Menyediakan Deklarasi Kesesuaian UE dan dokumentasi teknis agar dapat diakses oleh otoritas pengawasan pasar.
- Menanggapi permintaan informasi dan dokumentasi kepatuhan yang beralasan.
- Bekerjasama dengan otoritas pengawasan pasar Uni Eropa terkait produk-produk yang tercakup dalam mandat tersebut.
- Mendukung komunikasi regulasi, permintaan dokumentasi, dan pemeriksaan ketertelusuran.
Pihak produsen tetap bertanggung jawab atas desain, pengembangan, produksi, keamanan siber, penilaian kesesuaian, penanganan kerentanan, pembaruan keamanan, pelaporan insiden, dan kepatuhan berkelanjutan terhadap produk tersebut.
Kategori Produk yang Sesuai
- Perangkat rumah pintar
- Produk Internet of Things (IoT)
- Elektronik konsumen
- Peralatan rumah tangga yang terhubung
- Perangkat yang dapat dikenakan
- Produk pencahayaan pintar
- Peralatan jaringan
- Kamera keamanan
- Mainan yang terhubung
- Peralatan IoT industri
- Sensor pintar
- Perangkat nirkabel
- Produk terhubung yang menggunakan daya baterai
- Perangkat lunak yang disertakan dengan perangkat keras yang terhubung.
- Produk perangkat lunak mandiri
- Produk lain dengan elemen digital
Kepatuhan terhadap Undang-Undang Ketahanan Siber Uni Eropa dan Proses EAR dalam Lima Langkah
-
Petakan Produk, Perangkat Lunak, dan Lingkungan Digital
Kami mendokumentasikan bagaimana produk atau perangkat lunak dipasok, diinstal, diakses, dihubungkan, diperbarui, dan dipelihara. Tinjauan ini mencakup versi perangkat lunak dan firmware, lingkungan operasi, ketergantungan cloud, API, antarmuka jaringan, peran pengguna, metode otentikasi, alur data, model penerapan, platform yang didukung, layanan eksternal, dan koneksi ke perangkat atau sistem lain.
-
Tinjau Siklus Hidup Keamanan Siber dan Lingkup CRA
Kami menilai tujuan penggunaan produk, fungsi digital, arsitektur keamanan siber, jalur penilaian kesesuaian, dan kewajiban CRA yang berlaku. Kami juga meninjau siklus pengembangan aman dari produsen, termasuk kontrol kode sumber, manajemen ketergantungan, persetujuan perubahan, pengujian keamanan, prosedur rilis, pelacakan masalah, pengembangan patch, kontrol akses, dan tanggung jawab keamanan siber internal.
-
Menilai Risiko, Ketergantungan, Kerentanan, dan SBOM
Kami meninjau penilaian risiko keamanan siber, komponen perangkat lunak, pustaka sumber terbuka, paket pihak ketiga, layanan cloud, dan ketergantungan eksternal.Jika tersedia, kami menilai Daftar Komponen Perangkat Lunak (Software Bill of Materials/SBOM), catatan kerentanan, inventaris ketergantungan, proses penilaian tingkat keparahan, alur kerja perbaikan, prosedur pengungkapan kerentanan terkoordinasi, proses pembaruan keamanan, dan komitmen periode dukungan.
-
Siapkan dan Tinjau Dokumentasi Kepatuhan CRA
EaseCert menyiapkan, meninjau, atau mengatur dokumentasi peraturan yang telah disepakati. Ini dapat mencakup penilaian risiko keamanan siber, deskripsi arsitektur produk dan perangkat lunak, dokumentasi teknis, catatan SBOM, prosedur penanganan kerentanan, kebijakan pengungkapan kerentanan terkoordinasi, prosedur pembaruan perangkat lunak, pernyataan periode dukungan, informasi keamanan untuk pengguna, alur kerja pelaporan insiden, informasi ketertelusuran, dan Deklarasi Kesesuaian UE.
-
Menunjuk EaseCert sebagai Perwakilan Resmi Uni Eropa
Setelah tinjauan kepatuhan selesai dan mandat tertulis ditandatangani, EaseCert GmbH ditunjuk sebagai Perwakilan Resmi Uni Eropa dari produsen untuk produk-produk yang tercakup. EaseCert menyimpan Deklarasi Kesesuaian Uni Eropa dan dokumentasi teknis, menanggapi permintaan yang beralasan dari otoritas pengawasan pasar, dan bekerja sama dengan otoritas terkait risiko kepatuhan dan tindakan korektif. Penunjukan tersebut tetap tunduk pada mandat yang disepakati, ketentuan layanan, dan kepatuhan berkelanjutan dari produk-produk yang tercakup.
Layanan Perwakilan Resmi Uni Eropa
Layanan Perwakilan Resmi Uni Eropa disertakan untuk produsen yang berlokasi di luar Uni Eropa.
Penunjukan tersebut diformalkan melalui mandat tertulis yang mengidentifikasi produsen, produk yang dicakup, dan tugas regulasi yang diberikan kepada EaseCert.
Tanggung Jawab EAR EaseCert
- Bertindak sebagai Perwakilan Resmi Uni Eropa yang ditunjuk berdasarkan Undang-Undang Ketahanan Siber.
- Simpan salinan mandat tertulis yang telah ditandatangani.
- Pastikan Deklarasi Kesesuaian Uni Eropa tetap tersedia bagi otoritas pengawasan pasar.
- Sediakan dokumentasi teknis yang diperlukan untuk otoritas pengawasan pasar.
- Berikan informasi dan dokumentasi kepatuhan setelah permintaan otoritas yang beralasan.
- Bekerja sama dengan pihak berwenang terkait risiko yang ditimbulkan oleh produk yang diasuransikan.
- Mendukung komunikasi dan permintaan dokumentasi terkait regulasi.
- Mendukung pemeriksaan ketertelusuran terkait produsen dan produk yang tercakup.
- Informasikan kepada produsen mengenai pertanyaan regulasi terkait yang diterima oleh EaseCert.
Tanggung Jawab Produsen
Penunjukan EaseCert tidak mengalihkan kewajiban inti produsen berdasarkan Undang-Undang Ketahanan Siber.
Pihak produsen tetap bertanggung jawab atas:
- Merancang dan mengembangkan produk dan perangkat lunak yang sesuai standar.
- Melakukan dan memelihara penilaian risiko keamanan siber.
- Memenuhi persyaratan keamanan siber yang penting
- Melakukan penilaian kesesuaian yang berlaku.
- Mempersiapkan dan memelihara dokumentasi teknis yang akurat.
- Menandatangani Deklarasi Kesesuaian Uni Eropa
- Menempelkan tanda CE di tempat yang dipersyaratkan.
- Memantau dan mengatasi kerentanan
- Memberikan pembaruan keamanan selama masa dukungan.
- Melaporkan kerentanan yang dieksploitasi secara aktif dan insiden keamanan serius.
- Mengambil tindakan korektif jika suatu produk tidak sesuai atau menimbulkan risiko keamanan siber.
- Memberi tahu EaseCert tentang perubahan produk, perangkat lunak, kepemilikan, atau kepatuhan yang relevan.
Apa yang Termasuk
- Penilaian penerapan Undang-Undang Ketahanan Siber
- Tinjauan ruang lingkup produk dan perangkat lunak
- Tinjauan terhadap jalur penilaian kesesuaian
- Tinjauan terhadap dokumentasi teknis yang ada.
- Tinjauan dokumentasi keamanan siber
- Analisis kesenjangan kepatuhan keamanan siber
- Tinjauan siklus hidup pengembangan perangkat lunak yang aman.
- Tinjauan identifikasi dan ketertelusuran produk
- Tinjauan terhadap informasi pelabelan produk dan tanda CE.
- Tinjauan dokumentasi pengguna dan petunjuk keamanan
- Tinjauan prosedur penanganan kerentanan
- Tinjauan prosedur pembaruan dan pemeliharaan perangkat lunak
- Tinjauan atas Daftar Material Perangkat Lunak, jika tersedia.
- Tinjauan dokumentasi periode dukungan
- Tinjauan Deklarasi Kesesuaian Uni Eropa
- Laporan kepatuhan tertulis dan rekomendasi
- Mandat tertulis dari Perwakilan Resmi Uni Eropa
- Penunjukan EaseCert GmbH sebagai Perwakilan Resmi Uni Eropa
- Penyimpanan Deklarasi Kesesuaian UE dan dokumentasi teknis.
- Titik kontak regulasi berbasis Uni Eropa
- Memberikan dukungan terkait permintaan otoritas pengawasan pasar.
- Pedoman regulasi sepanjang proyek
Dokumen yang Diperlukan
Informasi Produsen
- Nama perusahaan resmi
- Alamat bisnis terdaftar
- Nomor registrasi perusahaan
- Kontak person
- Alamat email
- Nomor telepon
- Situs web
- Informasi importir Uni Eropa, jika berlaku.
Informasi Produk
- Nama Produk
- Nama merek
- Nomor model
- SKU atau pengidentifikasi produk
- Spesifikasi teknis
- Foto produk
- Tujuan dan pengguna yang dituju
- Teknologi komunikasi
- Panduan pengguna
- Desain kemasan
- Label produk
- Informasi penandaan CE
Informasi Perangkat Lunak dan Keamanan Siber
- Versi firmware dan perangkat lunak
- Arsitektur perangkat lunak dan perangkat keras
- Protokol komunikasi
- Antarmuka jaringan
- Layanan cloud dan ketergantungan eksternal
- Metode otentikasi dan kontrol akses
- Metode enkripsi, jika berlaku.
- Mekanisme pembaruan perangkat lunak
- Proses pembaruan dan penambalan keamanan
- Prosedur penanganan kerentanan
- Kebijakan pengungkapan kerentanan terkoordinasi
- Periode dukungan
- Daftar Komponen Perangkat Lunak, jika tersedia.
- Dokumentasi siklus pengembangan yang aman.
- Prosedur pelaporan insiden
Dokumentasi Kepatuhan yang Ada
- Deklarasi Kesesuaian Uni Eropa
- Dokumentasi teknis
- Penilaian risiko keamanan siber
- Laporan uji CE yang berlaku
- Dokumentasi perangkat lunak dan firmware
- Laporan pengujian keamanan siber yang ada
- Laporan uji penetrasi, jika tersedia.
- Laporan pemindaian kerentanan, jika tersedia.
- Laporan sertifikasi, jika tersedia.
- Perjanjian perwakilan resmi yang ada, jika berlaku.
Keterbatasan Layanan
EaseCert menyediakan layanan konsultasi regulasi, penilaian kepatuhan, dukungan dokumentasi, dan layanan Perwakilan Resmi Uni Eropa dalam lingkup mandat yang telah ditandatangani.
Kecuali disepakati secara terpisah dalam bentuk tertulis, layanan ini tidak termasuk:
- Pengujian penetrasi
- Tinjauan kode sumber
- Pemindaian kerentanan
- Peretasan etis
- Pengujian laboratorium
- Sertifikasi keamanan siber
- Penilaian kesesuaian oleh Badan Sertifikasi
- Pengembangan atau modifikasi perangkat lunak
- Perbaikan perangkat lunak atau koreksi kerentanan
- Pemantauan kerentanan teknis secara terus menerus.
- Layanan pusat operasi keamanan
- Respons insiden teknis
- Desain ulang produk atau perangkat lunak
- Pengajuan laporan pabrikan kecuali secara tegas tercantum dalam mandat tertulis dan diizinkan secara hukum.
Jika pengujian keamanan siber teknis diperlukan, EaseCert dapat membantu menentukan ruang lingkup pengujian dan berkoordinasi dengan laboratorium keamanan siber atau penyedia teknis yang berkualifikasi.
Penunjukan EaseCert sebagai Perwakilan Resmi Uni Eropa tidak berarti sertifikasi produk, persetujuan, atau konfirmasi bahwa produk tersebut bebas dari kerentanan keamanan siber.
Produsen tetap bertanggung jawab secara hukum atas keamanan siber, kesesuaian, keakuratan dokumentasi, dan kepatuhan berkelanjutan dari produk-produknya.
Waktu pengerjaan
Sebagian besar tinjauan kepatuhan awal diselesaikan dalam waktu sekitar 5 hingga 10 hari kerja setelah diterimanya semua dokumentasi yang diperlukan.
Penunjukan Perwakilan Resmi Uni Eropa mulai berlaku setelah peninjauan dokumentasi selesai, produk yang dicakup telah diterima oleh EaseCert, dan mandat tertulis telah ditandatangani oleh kedua belah pihak.
Waktu pemrosesan dapat bervariasi tergantung pada kompleksitas produk, jumlah kelompok produk, kelengkapan dokumentasi yang diajukan, jalur penilaian kesesuaian, dan apakah pengujian teknis tambahan diperlukan.
Pertanyaan yang Sering Diajukan
Apa itu Undang-Undang Ketahanan Siber Uni Eropa?
Undang-Undang Ketahanan Siber Uni Eropa menetapkan persyaratan keamanan siber wajib untuk produk dengan elemen digital yang dipasarkan di Uni Eropa. Undang-undang ini membahas keamanan siber di seluruh siklus hidup produk, termasuk desain, pengembangan, penanganan kerentanan, pembaruan keamanan, dokumentasi teknis, penilaian kesesuaian, dan pemantauan pasca-pemasaran.
Apakah layanan ini mencakup Perwakilan Resmi Uni Eropa?
Ya. Penunjukan EaseCert GmbH sebagai Perwakilan Resmi Uni Eropa dari produsen berdasarkan Undang-Undang Ketahanan Siber termasuk dalam cakupan layanan yang disepakati untuk produk-produk yang diterima.
Penunjukan tersebut mulai berlaku setelah tinjauan kepatuhan selesai dan mandat tertulis ditandatangani oleh produsen dan EaseCert.
Apa yang dilakukan EaseCert sebagai Perwakilan Resmi Uni Eropa?
EaseCert menyimpan Deklarasi Kesesuaian UE dan dokumentasi teknis agar tersedia bagi otoritas pengawasan pasar, menanggapi permintaan informasi kepatuhan yang beralasan, dan bekerja sama dengan otoritas terkait produk yang tercakup dalam mandat tertulis.
Apakah penunjukan EaseCert mengalihkan tanggung jawab produsen?
Tidak. Produsen tetap bertanggung jawab atas desain produk, pengembangan perangkat lunak, manajemen risiko keamanan siber, penilaian kesesuaian, dokumentasi teknis, penanganan kerentanan, pembaruan keamanan, pelaporan insiden, tindakan korektif, dan kepatuhan berkelanjutan.
Apakah penunjukan tersebut harus didokumentasikan?
Ya. Penunjukan tersebut ditetapkan melalui mandat tertulis yang mengidentifikasi produsen, EaseCert GmbH, produk yang dicakup, dan tugas regulasi yang diberikan kepada EaseCert.
Produk apa saja yang tercakup dalam Undang-Undang Ketahanan Siber?
Regulasi ini umumnya berlaku untuk produk perangkat keras dan perangkat lunak dengan elemen digital yang terhubung secara langsung atau tidak langsung ke perangkat atau jaringan lain. Ini dapat mencakup produk konsumen yang terhubung, perangkat IoT, peralatan jaringan, produk digital industri, perangkat lunak tertanam, dan perangkat lunak mandiri.
Apakah Undang-Undang Ketahanan Siber berlaku untuk perangkat lunak mandiri?
Dalam banyak kasus, ya. Perangkat lunak mandiri yang ditempatkan di pasar Uni Eropa mungkin termasuk dalam cakupan Undang-Undang Ketahanan Siber, tergantung pada bagaimana perangkat lunak tersebut dipasok, tujuan penggunaannya, dan apakah ada pengecualian yang berlaku.
Kapan persyaratan Undang-Undang Ketahanan Siber berlaku?
Undang-Undang Ketahanan Siber mulai berlaku pada tanggal 10 Desember 2024. Persyaratan utama berlaku mulai tanggal 11 Desember 2027. Kewajiban pelaporan kerentanan dan insiden serius berlaku mulai tanggal 11 September 2026.
Apa itu Daftar Material Perangkat Lunak (Software Bill of Materials)?
Daftar Komponen Perangkat Lunak (Software Bill of Materials/SBOM) adalah inventaris terstruktur dari komponen perangkat lunak, pustaka, dependensi, dan elemen pihak ketiga yang digunakan dalam suatu produk. SBOM membantu produsen menentukan apakah suatu produk terpengaruh ketika kerentanan teridentifikasi.
Apakah saya perlu menjalani tes keamanan siber?
Persyaratan pengujian bergantung pada produk, risiko keamanan siber, standar yang berlaku, klasifikasi produk, dan jalur penilaian kesesuaian. EaseCert meninjau bukti yang tersedia dan mengidentifikasi apakah pengujian tambahan atau penilaian pihak ketiga mungkin diperlukan.
Apakah EaseCert melakukan pengujian penetrasi?
Tidak. Pengujian penetrasi, analisis kode sumber, pemindaian kerentanan, dan pengujian keamanan siber khusus harus dilakukan oleh penyedia teknis yang berkualifikasi. EaseCert dapat membantu dalam menentukan dan mengoordinasikan ruang lingkup pengujian yang dibutuhkan.
Apakah EaseCert mensertifikasi produk ini?
Tidak. EaseCert menyediakan dukungan kepatuhan regulasi dan bertindak sebagai Perwakilan Resmi Uni Eropa. EaseCert tidak menerbitkan sertifikat keamanan siber, melakukan pengujian laboratorium, atau bertindak sebagai Badan Pemberi Sertifikasi.
Apakah EaseCert dapat menyiapkan dokumentasi yang dibutuhkan?
Ya. Tergantung pada ruang lingkup yang disepakati, EaseCert dapat menyiapkan, meninjau, atau mengatur dokumentasi CRA, termasuk penilaian risiko keamanan siber, dokumentasi teknis, prosedur penanganan kerentanan, proses pembaruan perangkat lunak, dokumentasi masa dukungan, informasi keamanan pengguna, dan Deklarasi Kesesuaian UE.
Apakah beberapa model bisa ditangani dalam satu kali kunjungan?
Model-model yang memiliki platform perangkat lunak, firmware, arsitektur perangkat keras, konektivitas, mekanisme pembaruan, tujuan penggunaan, dan kontrol keamanan siber yang sama terkadang dapat dikelompokkan bersama. EaseCert meninjau rangkaian produk sebelum mengkonfirmasi ruang lingkupnya.
Apakah layanan tersebut mencakup pemantauan kerentanan secara berkelanjutan?
Tidak. Layanan standar tidak termasuk pemantauan teknis berkelanjutan, operasi keamanan, pemeliharaan perangkat lunak, atau respons insiden. Produsen harus mempertahankan proses keamanan siber pasca-pemasaran yang sesuai selama periode dukungan yang berlaku.
Berapa lama waktu yang dibutuhkan untuk layanan ini?
Sebagian besar tinjauan awal diselesaikan dalam waktu sekitar 5 hingga 10 hari kerja setelah semua dokumen yang diperlukan diterima. Penunjukan EAR dimulai setelah tinjauan selesai dan mandat tertulis telah ditandatangani.
Mulailah Proyek Kepatuhan Keamanan Siber Uni Eropa dan EAR Anda
Lakukan pemesanan Anda dan EaseCert akan menghubungi Anda melalui email dengan daftar dokumen yang diperlukan, mandat tertulis, dan langkah selanjutnya untuk tinjauan kepatuhan Undang-Undang Ketahanan Siber dan penunjukan Perwakilan Resmi Uni Eropa.
Membagikan
