EaseCert | GPSR Compliance
Уполномоченный представитель Закона ЕС о киберустойчивости и служба обеспечения соответствия
Уполномоченный представитель Закона ЕС о киберустойчивости и служба обеспечения соответствия
Не удалось загрузить доступность пикапа
Соответствие требованиям кибербезопасности ЕС и уполномоченное представительство
EaseCert оказывает поддержку производителям в обеспечении соответствия требованиям Закона ЕС о киберустойчивости (CRA) и выступает в качестве их уполномоченного представителя в ЕС для продукции, содержащей цифровые элементы, охватываемые согласованным объемом услуг.
Закон о киберустойчивости вводит обязательные требования к кибербезопасности для продукции с цифровыми элементами, размещаемой на рынке Европейского союза. Производители должны обеспечивать кибербезопасность на протяжении всего жизненного цикла продукта, поддерживать техническую документацию, разрабатывать процедуры обработки уязвимостей, предоставлять обновления безопасности и выполнять применимые обязательства по отчетности и послепродажному обслуживанию.
Данная услуга предназначена для производителей, зарегистрированных за пределами Европейского союза, которым требуется как поддержка в соблюдении требований CRA, так и уполномоченный представитель в ЕС.
После завершения проверки документации и подписания письменного поручения компания EaseCert GmbH назначается уполномоченным представителем производителя в ЕС в соответствии с Законом о киберустойчивости.
В рамках предоставленных полномочий компания EaseCert:
- Выступает в качестве контактного лица по вопросам регулирования в ЕС для соответствующих продуктов.
- Обеспечивает доступность Декларации соответствия ЕС и технической документации для органов надзора за рынком.
- Отвечает на обоснованные запросы о предоставлении информации и документации, подтверждающей соответствие требованиям.
- Сотрудничает с органами надзора за рынком ЕС в отношении продукции, подпадающей под действие мандата.
- Оказывает поддержку в вопросах взаимодействия с регулирующими органами, обработке запросов на предоставление документации и проведении проверок отслеживаемости.
Производитель по-прежнему несет ответственность за проектирование, разработку, производство, кибербезопасность, оценку соответствия, обработку уязвимостей, обновления безопасности, отчетность об инцидентах и постоянное соответствие продукта установленным требованиям.
Подходящие категории товаров
- Устройства для умного дома
- Продукты Интернета вещей (IoT)
- Бытовая электроника
- Подключенная бытовая техника
- Носимые устройства
- «Умные» осветительные приборы
- Сетевое оборудование
- Камеры видеонаблюдения
- Игрушки с подключением к интернету
- Промышленное оборудование для интернета вещей
- Интеллектуальные датчики
- Беспроводные устройства
- Подключенные устройства с питанием от батарей
- Программное обеспечение поставляется вместе с подключенным оборудованием.
- Автономные программные продукты
- Другие товары с цифровыми элементами
Соответствие Закону ЕС о киберустойчивости и процесс EAR в пять этапов
-
Составьте карту продукта, программного обеспечения и цифровой среды.
Мы документируем, как продукт или программное обеспечение поставляется, устанавливается, используется, подключается, обновляется и обслуживается. Обзор охватывает версии программного обеспечения и микропрограмм, операционные среды, зависимости от облачных сервисов, API, сетевые интерфейсы, роли пользователей, методы аутентификации, потоки данных, модели развертывания, поддерживаемые платформы, внешние сервисы и подключения к другим устройствам или системам.
-
Ознакомьтесь с жизненным циклом кибербезопасности и сферой действия CRA.
Мы оцениваем предполагаемое использование продукта, его цифровые функции, архитектуру кибербезопасности, порядок проведения оценки соответствия и применимые обязательства в соответствии с Законом о реинвестировании в сообщества (CRA). Мы также рассматриваем безопасный цикл разработки производителя, включая контроль исходного кода, управление зависимостями, утверждение изменений, тестирование безопасности, процедуры выпуска, отслеживание проблем, разработку исправлений, контроль доступа и внутренние обязанности в области кибербезопасности.
-
Оцените риски, зависимости, уязвимости и спецификацию бизнес-процессов (SBOM).
Мы проводим анализ рисков кибербезопасности, программных компонентов, библиотек с открытым исходным кодом, сторонних пакетов, облачных сервисов и внешних зависимостей.При наличии такой информации мы оцениваем спецификацию программного обеспечения (SBOM), записи об уязвимостях, перечень зависимостей, процесс оценки серьезности, рабочий процесс устранения уязвимостей, скоординированную процедуру раскрытия информации об уязвимостях, процесс обновления безопасности и обязательства по срокам поддержки.
-
Подготовка и проверка документации по соблюдению требований CRA.
EaseCert подготавливает, проверяет или организует согласованную нормативную документацию. Это может включать оценку рисков кибербезопасности, описание архитектуры продукта и программного обеспечения, техническую документацию, записи SBOM, процедуру обработки уязвимостей, скоординированную политику раскрытия информации об уязвимостях, процедуру обновления программного обеспечения, заявление о сроках поддержки, информацию о безопасности для пользователей, рабочий процесс отчетности об инцидентах, информацию об отслеживаемости и Декларацию соответствия ЕС.
-
Назначить EaseCert уполномоченным представителем в ЕС.
После завершения проверки на соответствие и подписания письменного поручения компания EaseCert GmbH назначается уполномоченным представителем производителя в ЕС для соответствующей продукции. EaseCert сохраняет Декларацию соответствия ЕС и техническую документацию, отвечает на обоснованные запросы органов надзора за рынком и сотрудничает с органами власти в отношении рисков несоответствия и корректирующих действий. Назначение остается в силе в соответствии с согласованным поручением, условиями обслуживания и дальнейшим соответствием продукции установленным требованиям.
Служба уполномоченных представителей ЕС
Услуга «Уполномоченный представитель ЕС» предоставляется производителям, зарегистрированным за пределами Европейского союза.
Назначение оформляется в письменном виде, в котором указываются производитель, охватываемая продукция и задачи по регулированию, возложенные на EaseCert.
Обязанности EaseCert по EAR-файлам
- Выступать в качестве назначенного уполномоченного представителя ЕС в соответствии с Законом о киберустойчивости.
- Сохраните копию подписанного письменного распоряжения.
- Сохраните Декларацию соответствия ЕС в распоряжении органов надзора за рынком.
- Обеспечьте наличие необходимой технической документации для органов надзора за рынком.
- Предоставьте информацию и документацию о соблюдении требований в соответствии с обоснованным запросом уполномоченного органа.
- Сотрудничайте с органами власти в отношении рисков, связанных с продукцией, на которую распространяется действие данного соглашения.
- Поддержка запросов на предоставление нормативной информации и документации.
- Обеспечение возможности проведения проверок отслеживаемости производителя и продукции, на которую распространяется действие данного соглашения.
- Уведомите производителя о соответствующих запросах регулирующих органов, полученных компанией EaseCert.
Обязанности производителя
Назначение компании EaseCert не влечет за собой передачу производителю основных обязательств в соответствии с Законом о киберустойчивости.
Производитель по-прежнему несет ответственность за:
- Разработка и проектирование соответствующих требованиям продуктов и программного обеспечения.
- Проведение и поддержание оценки рисков кибербезопасности.
- Соответствие основным требованиям кибербезопасности
- Проведение соответствующей оценки соответствия
- Подготовка и ведение точной технической документации.
- Подписание Декларации соответствия ЕС
- Нанесение маркировки CE в необходимых местах.
- Мониторинг и устранение уязвимостей
- Предоставление обновлений безопасности в течение периода технической поддержки.
- Сообщение об активно используемых уязвимостях и серьезных инцидентах безопасности
- Принятие мер по исправлению ситуации, когда продукт не соответствует требованиям или представляет угрозу кибербезопасности.
- Информирование компании EaseCert о соответствующих изменениях в продукте, программном обеспечении, правах собственности или соответствии нормативным требованиям.
Что входит в комплект
- оценка применимости Закона о киберустойчивости
- Обзор объема работ по продукту и программному обеспечению.
- Обзор методики оценки соответствия
- Обзор существующей технической документации
- Обзор документации по кибербезопасности
- Анализ пробелов в обеспечении соответствия требованиям кибербезопасности
- Обзор жизненного цикла безопасной разработки программного обеспечения.
- Обзор идентификации и отслеживаемости продукции
- Обзор информации о маркировке продукции и маркировке CE.
- Проверка пользовательской документации и инструкций по безопасности.
- Обзор процедур обработки уязвимостей
- Обзор процедур обновления и обслуживания программного обеспечения.
- Проверка спецификации программного обеспечения (если таковая имеется).
- Проверка документации за период оказания поддержки.
- Обзор декларации соответствия ЕС
- Письменный отчет о соответствии требованиям и рекомендации
- Письменный мандат уполномоченного представителя ЕС
- Назначение компании EaseCert GmbH уполномоченным представителем в ЕС.
- Сохранение Декларации соответствия ЕС и технической документации.
- контактное лицо по вопросам регулирования в ЕС
- Поддержка в обработке запросов в органы надзора за рынком.
- Нормативно-правовое сопровождение на протяжении всего проекта.
Необходимая документация
Информация от производителя
- Юридическое название компании
- Адрес зарегистрированного предприятия
- Регистрационный номер компании
- Контактное лицо
- Адрес электронной почты
- Номер телефона
- Веб-сайт
- Информация об импортёрах из ЕС, если применимо.
Информация о продукте
- Название продукта
- Название бренда
- Номер модели
- Артикул или идентификатор товара
- Технические характеристики
- Фотографии продукции
- Назначение и предполагаемые пользователи
- Коммуникационные технологии
- Руководство пользователя
- оформление упаковки
- Этикетки продукции
- Информация о маркировке CE
Информация о программном обеспечении и кибербезопасности
- Версии прошивки и программного обеспечения
- Архитектура программного и аппаратного обеспечения
- Протоколы связи
- Сетевые интерфейсы
- Облачные сервисы и внешние зависимости
- Методы аутентификации и контроля доступа
- Методы шифрования, где это применимо.
- механизм обновления программного обеспечения
- Процесс обновления безопасности и установки исправлений
- Процедура обработки уязвимостей
- Скоординированная политика раскрытия информации об уязвимостях
- Период поддержки
- Спецификация программного обеспечения (если имеется)
- Документация по безопасному жизненному циклу разработки
- Процедура сообщения об инцидентах
Существующая документация по соблюдению нормативных требований
- Декларация соответствия ЕС
- Техническая документация
- оценка рисков кибербезопасности
- Применимые протоколы испытаний CE
- Документация по программному обеспечению и микропрограммам
- Существующие отчеты о тестировании кибербезопасности
- Отчеты о результатах испытаний на проникновение, если таковые имеются.
- Отчеты о проверке на уязвимости (если имеются)
- Сертификаты, если таковые имеются.
- Действующие соглашения с уполномоченными представителями, если таковые имеются.
Ограничения обслуживания
В рамках подписанного мандата компания EaseCert предоставляет консультационные услуги по вопросам регулирования, оценку соответствия требованиям, поддержку в подготовке документации и услуги уполномоченного представителя ЕС.
Если иное не оговорено отдельно в письменной форме, услуга не включает в себя:
- Тестирование на проникновение
- Проверка исходного кода
- Сканирование уязвимостей
- Этичный хакинг
- Лабораторные исследования
- сертификация в области кибербезопасности
- Оценка соответствия уполномоченного органа
- Разработка или модификация программного обеспечения
- Исправление ошибок в программном обеспечении или устранение уязвимостей
- Постоянный мониторинг технических уязвимостей
- услуги центра оперативного управления безопасностью
- реагирование на технические инциденты
- Перепроектирование продукта или программного обеспечения
- Предоставление отчетов производителя запрещено, если иное прямо не предусмотрено письменным требованием и не разрешено законом.
В тех случаях, когда требуется техническое тестирование кибербезопасности, EaseCert может помочь определить объем тестирования и скоординировать действия с квалифицированной лабораторией кибербезопасности или техническим провайдером.
Назначение компании EaseCert уполномоченным представителем в ЕС не означает сертификацию, одобрение или подтверждение отсутствия у продукта уязвимостей в области кибербезопасности.
Производитель по-прежнему несет юридическую ответственность за кибербезопасность, соответствие стандартам, точность документации и постоянное соблюдение требований к своей продукции.
Время обработки
Большинство первоначальных проверок на соответствие требованиям завершаются примерно в течение 5-10 рабочих дней после получения всей необходимой документации.
Назначение уполномоченного представителя ЕС вступает в силу после завершения проверки документации, принятия компанией EaseCert соответствующих продуктов и подписания письменного поручения обеими сторонами.
Сроки обработки могут варьироваться в зависимости от сложности продукта, количества групп продуктов, полноты представленной документации, способа оценки соответствия и необходимости проведения дополнительных технических испытаний.
Часто задаваемые вопросы
Что такое Закон ЕС о киберустойчивости?
Закон ЕС о киберустойчивости устанавливает обязательные требования к кибербезопасности для продуктов с цифровыми элементами, размещаемых на рынке Европейского союза. Он охватывает кибербезопасность на протяжении всего жизненного цикла продукта, включая проектирование, разработку, устранение уязвимостей, обновления безопасности, техническую документацию, оценку соответствия и мониторинг после выхода на рынок.
Включает ли данная услуга присутствие уполномоченного представителя ЕС?
Да. Назначение компании EaseCert GmbH уполномоченным представителем производителя в ЕС в соответствии с Законом о киберустойчивости включено в перечень услуг, предоставляемых для продукции, принимаемой в рамках согласованного объема работ.
Назначение вступает в силу после завершения проверки на соответствие требованиям и подписания письменного поручения производителем и компанией EaseCert.
Чем занимается компания EaseCert в качестве уполномоченного представителя в ЕС?
EaseCert обеспечивает доступность Декларации соответствия ЕС и технической документации для органов надзора за рынком, отвечает на обоснованные запросы о предоставлении информации о соответствии и сотрудничает с органами власти в отношении продукции, на которую распространяется письменное поручение.
Передаёт ли назначение EaseCert ответственность производителя?
Нет. Производитель по-прежнему несет ответственность за проектирование продукции, разработку программного обеспечения, управление рисками кибербезопасности, оценку соответствия, техническую документацию, обработку уязвимостей, обновления безопасности, отчетность об инцидентах, корректирующие действия и постоянное соблюдение требований.
Необходимо ли документально оформлять запись о назначенной встрече?
Да. Назначение осуществляется на основании письменного поручения, в котором указываются производитель, компания EaseCert GmbH, охватываемая продукция и задачи по регулированию, возложенные на EaseCert.
На какие продукты распространяется действие Закона о киберустойчивости?
Данное регулирование в целом распространяется на аппаратные и программные продукты с цифровыми элементами, которые напрямую или косвенно подключаются к другому устройству или сети. Это может включать в себя подключенные потребительские товары, устройства Интернета вещей, сетевое оборудование, промышленные цифровые продукты, встроенное программное обеспечение и автономное программное обеспечение.
Распространяется ли действие Закона о киберустойчивости на автономное программное обеспечение?
Во многих случаях — да. Автономное программное обеспечение, размещаемое на рынке ЕС, может подпадать под действие Закона о киберустойчивости в зависимости от способа его поставки, предполагаемого назначения и наличия исключений.
В каких случаях применяются требования Закона о киберустойчивости?
Закон о киберустойчивости вступил в силу 10 декабря 2024 года. Основные требования вступают в силу с 11 декабря 2027 года. Обязанности по сообщению об уязвимостях и серьезных инцидентах вступают в силу с 11 сентября 2026 года.
Что такое спецификация программного обеспечения?
Спецификация программного обеспечения (SBOM) — это структурированный перечень программных компонентов, библиотек, зависимостей и элементов сторонних разработчиков, используемых в продукте. Она помогает производителям определить, подвержен ли продукт воздействию уязвимости.
Нужно ли мне проходить тестирование на кибербезопасность?
Требования к тестированию зависят от продукта, рисков кибербезопасности, применимых стандартов, классификации продукта и способа оценки соответствия. EaseCert анализирует имеющиеся данные и определяет, может ли потребоваться дополнительное тестирование или оценка третьей стороной.
Проводит ли EaseCert тестирование на проникновение?
Нет. Тестирование на проникновение, анализ исходного кода, сканирование уязвимостей и специализированное тестирование в области кибербезопасности должны проводиться квалифицированным техническим специалистом. Компания EaseCert может помочь в определении и координации необходимого объема тестирования.
Сертификацию продукции осуществляет компания EaseCert?
Нет. EaseCert оказывает поддержку в обеспечении соответствия нормативным требованиям и выступает в качестве уполномоченного представителя ЕС. EaseCert не выдает сертификаты кибербезопасности, не проводит лабораторные испытания и не выступает в качестве уполномоченного органа.
Может ли компания EaseCert подготовить необходимую документацию?
Да. В зависимости от согласованного объема работ, EaseCert может подготовить, проверить или организовать документацию CRA, включая оценку рисков кибербезопасности, техническую документацию, процедуру обработки уязвимостей, процесс обновления программного обеспечения, документацию по периоду поддержки, информацию о безопасности пользователей и Декларацию соответствия ЕС.
Можно ли охватить несколько моделей за один визит?
Модели, использующие одну и ту же программную платформу, встроенное ПО, аппаратную архитектуру, возможности подключения, механизм обновления, предназначение и средства кибербезопасности, иногда могут быть объединены в одну группу. EaseCert проводит проверку ассортимента продукции перед подтверждением области применения.
Включает ли услуга непрерывный мониторинг уязвимостей?
Нет. Стандартное обслуживание не включает непрерывный технический мониторинг, операции по обеспечению безопасности, техническое обслуживание программного обеспечения или реагирование на инциденты. Производитель обязан поддерживать надлежащие процессы кибербезопасности после выхода продукта на рынок в течение всего соответствующего периода поддержки.
Сколько времени занимает оказание услуги?
Большинство первоначальных проверок завершаются примерно в течение 5-10 рабочих дней после получения всей необходимой документации. Назначение EAR начинается после завершения проверки и подписания письменного поручения.
Начните свой проект по обеспечению соответствия требованиям кибербезопасности ЕС и EAR-проект.
Оформите заказ, и EaseCert свяжется с вами по электронной почте, предоставив список необходимых документов, письменное поручение и информацию о дальнейших шагах по проверке соответствия Закону о киберустойчивости и назначению уполномоченного представителя ЕС.
Делиться
