EaseCert | GPSR Compliance
Dịch vụ tuân thủ và đại diện được ủy quyền theo Đạo luật về khả năng phục hồi mạng của EU
Dịch vụ tuân thủ và đại diện được ủy quyền theo Đạo luật về khả năng phục hồi mạng của EU
Không thể tải sẵn có sẵn nhận xe bán tải
Tuân thủ an ninh mạng EU và đại diện được ủy quyền
EaseCert hỗ trợ các nhà sản xuất tuân thủ Đạo luật về khả năng phục hồi mạng của EU (CRA) và đóng vai trò là Đại diện được ủy quyền của EU đối với các sản phẩm có yếu tố kỹ thuật số nằm trong phạm vi dịch vụ đã thỏa thuận.
Đạo luật về khả năng phục hồi mạng (Cyber Resilience Act) đưa ra các yêu cầu an ninh mạng bắt buộc đối với các sản phẩm có yếu tố kỹ thuật số được đưa ra thị trường Liên minh Châu Âu. Các nhà sản xuất phải giải quyết vấn đề an ninh mạng trong suốt vòng đời sản phẩm, duy trì tài liệu kỹ thuật, thiết lập quy trình xử lý lỗ hổng, cung cấp các bản cập nhật bảo mật và đáp ứng các nghĩa vụ báo cáo và hậu mãi áp dụng.
Dịch vụ này được thiết kế dành cho các nhà sản xuất có trụ sở bên ngoài Liên minh Châu Âu, những đơn vị cần hỗ trợ tuân thủ quy định CRA và có đại diện được ủy quyền đặt tại EU.
Sau khi hoàn tất việc xem xét tài liệu và ký kết văn bản ủy quyền, EaseCert GmbH được chỉ định làm Đại diện được ủy quyền của nhà sản xuất tại EU theo Đạo luật về khả năng phục hồi mạng.
Trong phạm vi nhiệm vụ được giao, EaseCert:
- Đóng vai trò là đầu mối liên hệ pháp lý tại EU đối với các sản phẩm được đề cập.
- Lưu giữ Tuyên bố Hợp quy của EU và các tài liệu kỹ thuật sẵn có cho các cơ quan giám sát thị trường.
- Đáp ứng các yêu cầu hợp lý về thông tin và tài liệu tuân thủ.
- Hợp tác với các cơ quan giám sát thị trường của EU liên quan đến các sản phẩm thuộc phạm vi nhiệm vụ được giao.
- Hỗ trợ việc liên lạc với cơ quan quản lý, xử lý yêu cầu tài liệu và kiểm tra khả năng truy xuất nguồn gốc.
Nhà sản xuất vẫn chịu trách nhiệm về thiết kế, phát triển, sản xuất, an ninh mạng, đánh giá sự phù hợp, xử lý lỗ hổng bảo mật, cập nhật bảo mật, báo cáo sự cố và đảm bảo tuân thủ liên tục các quy định của sản phẩm.
Danh mục sản phẩm phù hợp
- Thiết bị nhà thông minh
- Sản phẩm Internet vạn vật (IoT)
- Thiết bị điện tử tiêu dùng
- Thiết bị gia dụng kết nối
- Thiết bị đeo được
- Sản phẩm chiếu sáng thông minh
- Thiết bị mạng
- Camera an ninh
- Đồ chơi kết nối
- Thiết bị IoT công nghiệp
- Cảm biến thông minh
- Thiết bị không dây
- Sản phẩm kết nối chạy bằng pin
- Phần mềm được cung cấp kèm theo phần cứng được kết nối.
- Sản phẩm phần mềm độc lập
- Các sản phẩm khác có yếu tố kỹ thuật số
Tuân thủ Đạo luật về Khả năng phục hồi mạng của EU và Quy trình EAR gồm năm bước
-
Lập bản đồ môi trường sản phẩm, phần mềm và kỹ thuật số.
Chúng tôi ghi lại cách thức sản phẩm hoặc phần mềm được cung cấp, cài đặt, truy cập, kết nối, cập nhật và bảo trì. Quá trình xem xét bao gồm các phiên bản phần mềm và firmware, môi trường hoạt động, các phụ thuộc vào đám mây, API, giao diện mạng, vai trò người dùng, phương thức xác thực, luồng dữ liệu, mô hình triển khai, nền tảng được hỗ trợ, dịch vụ bên ngoài và kết nối với các thiết bị hoặc hệ thống khác.
-
Xem xét lại vòng đời an ninh mạng và phạm vi của CRA.
Chúng tôi đánh giá mục đích sử dụng sản phẩm, các chức năng kỹ thuật số, kiến trúc an ninh mạng, lộ trình đánh giá sự phù hợp và các nghĩa vụ CRA áp dụng. Chúng tôi cũng xem xét vòng đời phát triển an toàn của nhà sản xuất, bao gồm kiểm soát mã nguồn, quản lý phụ thuộc, phê duyệt thay đổi, kiểm thử bảo mật, quy trình phát hành, theo dõi sự cố, phát triển bản vá, kiểm soát truy cập và trách nhiệm an ninh mạng nội bộ.
-
Đánh giá rủi ro, sự phụ thuộc, các điểm yếu và SBOM
Chúng tôi xem xét đánh giá rủi ro an ninh mạng, các thành phần phần mềm, thư viện mã nguồn mở, gói phần mềm của bên thứ ba, dịch vụ đám mây và các phụ thuộc bên ngoài.Trong trường hợp có sẵn, chúng tôi sẽ đánh giá Danh mục phần mềm (SBOM), hồ sơ lỗ hổng bảo mật, danh mục phụ thuộc, quy trình đánh giá mức độ nghiêm trọng, quy trình khắc phục, quy trình công bố lỗ hổng bảo mật phối hợp, quy trình cập nhật bảo mật và cam kết thời gian hỗ trợ.
-
Chuẩn bị và xem xét lại các tài liệu tuân thủ quy định của CRA.
EaseCert chuẩn bị, xem xét hoặc sắp xếp các tài liệu quy định đã được thỏa thuận. Điều này có thể bao gồm đánh giá rủi ro an ninh mạng, mô tả kiến trúc sản phẩm và phần mềm, tài liệu kỹ thuật, hồ sơ SBOM, quy trình xử lý lỗ hổng, chính sách công bố lỗ hổng phối hợp, quy trình cập nhật phần mềm, tuyên bố thời gian hỗ trợ, thông tin bảo mật cho người dùng, quy trình báo cáo sự cố, thông tin truy vết và Tuyên bố phù hợp của EU.
-
Chỉ định EaseCert làm đại diện được ủy quyền của EU
Sau khi quá trình xem xét tuân thủ hoàn tất và văn bản ủy quyền được ký kết, EaseCert GmbH được chỉ định làm Đại diện được ủy quyền của nhà sản xuất tại EU đối với các sản phẩm thuộc phạm vi điều chỉnh. EaseCert lưu giữ Tuyên bố về sự phù hợp của EU và các tài liệu kỹ thuật, phản hồi các yêu cầu có lý do từ các cơ quan giám sát thị trường và hợp tác với các cơ quan chức năng liên quan đến rủi ro tuân thủ và các biện pháp khắc phục. Việc bổ nhiệm vẫn phụ thuộc vào văn bản ủy quyền đã thỏa thuận, các điều khoản dịch vụ và việc tiếp tục tuân thủ các quy định đối với các sản phẩm thuộc phạm vi điều chỉnh.
Dịch vụ đại diện được ủy quyền của EU
Dịch vụ Đại diện được ủy quyền của EU được bao gồm cho các nhà sản xuất có trụ sở bên ngoài Liên minh Châu Âu.
Việc bổ nhiệm được chính thức hóa thông qua một văn bản ủy quyền nêu rõ nhà sản xuất, các sản phẩm thuộc phạm vi điều chỉnh và các nhiệm vụ quản lý được giao cho EaseCert.
Trách nhiệm của EaseCert đối với EAR
- Đóng vai trò là Đại diện được ủy quyền của EU theo Đạo luật về khả năng phục hồi mạng.
- Hãy giữ lại một bản sao của văn bản ủy quyền đã ký.
- Giữ bản Tuyên bố Hợp quy của EU sẵn có cho các cơ quan giám sát thị trường.
- Hãy giữ sẵn các tài liệu kỹ thuật cần thiết để cung cấp cho các cơ quan giám sát thị trường.
- Cung cấp thông tin và tài liệu về việc tuân thủ theo yêu cầu có căn cứ hợp lý.
- Hợp tác với các cơ quan chức năng về những rủi ro do các sản phẩm được bảo hiểm gây ra.
- Hỗ trợ các yêu cầu về truyền thông và tài liệu theo quy định.
- Hỗ trợ kiểm tra truy xuất nguồn gốc liên quan đến nhà sản xuất và các sản phẩm được bảo hành.
- Thông báo cho nhà sản xuất về các yêu cầu pháp lý liên quan mà EaseCert nhận được.
Trách nhiệm của nhà sản xuất
Việc bổ nhiệm EaseCert không chuyển giao các nghĩa vụ cốt lõi của nhà sản xuất theo Đạo luật về khả năng phục hồi mạng.
Nhà sản xuất vẫn chịu trách nhiệm về:
- Thiết kế và phát triển các sản phẩm và phần mềm tuân thủ quy định.
- Thực hiện và duy trì đánh giá rủi ro an ninh mạng.
- Đáp ứng các yêu cầu an ninh mạng thiết yếu
- Tiến hành đánh giá sự phù hợp theo quy định.
- Chuẩn bị và duy trì tài liệu kỹ thuật chính xác.
- Ký kết Tuyên bố phù hợp của EU
- Dán tem CE tại những vị trí cần thiết.
- Giám sát và giải quyết các lỗ hổng bảo mật
- Cung cấp các bản cập nhật bảo mật trong suốt thời gian hỗ trợ.
- Báo cáo các lỗ hổng đang bị khai thác và các sự cố bảo mật nghiêm trọng.
- Thực hiện các biện pháp khắc phục khi sản phẩm không tuân thủ quy định hoặc tiềm ẩn rủi ro an ninh mạng.
- Thông báo cho EaseCert về các thay đổi liên quan đến sản phẩm, phần mềm, quyền sở hữu hoặc tuân thủ quy định.
Những gì được bao gồm
- Đánh giá khả năng áp dụng Đạo luật về khả năng phục hồi mạng
- Đánh giá phạm vi sản phẩm và phần mềm
- Xem xét lại lộ trình đánh giá sự phù hợp
- Xem xét lại các tài liệu kỹ thuật hiện có.
- Xem xét lại tài liệu về an ninh mạng.
- phân tích khoảng cách tuân thủ an ninh mạng
- Đánh giá chu trình phát triển phần mềm an toàn
- Xem xét lại việc nhận dạng và truy xuất nguồn gốc sản phẩm.
- Xem xét lại thông tin về nhãn sản phẩm và dấu CE.
- Xem xét lại tài liệu hướng dẫn sử dụng và hướng dẫn bảo mật.
- Xem xét lại các quy trình xử lý lỗ hổng bảo mật
- Xem xét lại quy trình cập nhật và bảo trì phần mềm.
- Xem xét danh sách các thành phần phần mềm (nếu có).
- Xem xét lại tài liệu thời gian hỗ trợ
- Đánh giá Tuyên bố phù hợp của EU
- Báo cáo tuân thủ bằng văn bản và các khuyến nghị
- Ủy quyền bằng văn bản của Đại diện được ủy quyền của EU
- Bổ nhiệm EaseCert GmbH làm đại diện được ủy quyền của EU
- Lưu giữ Tuyên bố về sự phù hợp của EU và tài liệu kỹ thuật.
- Điểm liên lạc pháp lý đặt tại EU
- Hỗ trợ các yêu cầu từ cơ quan giám sát thị trường.
- Hướng dẫn pháp lý xuyên suốt dự án
Hồ sơ cần thiết
Thông tin nhà sản xuất
- Tên công ty hợp pháp
- Địa chỉ kinh doanh đã đăng ký
- Số đăng ký công ty
- Người liên hệ
- Địa chỉ email
- Số điện thoại
- Trang web
- Thông tin nhà nhập khẩu EU, nếu có.
Thông tin sản phẩm
- Tên sản phẩm
- Tên thương hiệu
- Số hiệu mẫu
- Mã SKU hoặc mã nhận dạng sản phẩm
- Thông số kỹ thuật
- Ảnh sản phẩm
- Mục đích dự định và người dùng dự định
- Công nghệ truyền thông
- Hướng dẫn sử dụng
- Hình ảnh bao bì
- Nhãn sản phẩm
- Thông tin về dấu CE
Thông tin về phần mềm và an ninh mạng
- Phiên bản phần mềm và firmware
- Kiến trúc phần mềm và phần cứng
- Giao thức truyền thông
- Giao diện mạng
- Dịch vụ đám mây và các phụ thuộc bên ngoài
- Phương pháp xác thực và kiểm soát truy cập
- Các phương pháp mã hóa, nếu có thể áp dụng
- Cơ chế cập nhật phần mềm
- Quy trình cập nhật và vá lỗi bảo mật
- Quy trình xử lý lỗ hổng bảo mật
- Chính sách công bố lỗ hổng bảo mật phối hợp
- Thời gian hỗ trợ
- Danh sách linh kiện phần mềm (nếu có).
- Tài liệu về vòng đời phát triển bảo mật
- Quy trình báo cáo sự cố
Tài liệu tuân thủ hiện có
- Tuyên bố phù hợp của EU
- Tài liệu kỹ thuật
- Đánh giá rủi ro an ninh mạng
- Báo cáo thử nghiệm CE áp dụng
- Tài liệu phần mềm và firmware
- Các báo cáo kiểm thử an ninh mạng hiện có
- Báo cáo kiểm thử xâm nhập, nếu có.
- Báo cáo quét lỗ hổng bảo mật, nếu có.
- Báo cáo chứng nhận (nếu có)
- Các thỏa thuận đại diện được ủy quyền hiện có, nếu có.
Giới hạn dịch vụ
EaseCert cung cấp dịch vụ tư vấn pháp lý, đánh giá tuân thủ, hỗ trợ lập hồ sơ và dịch vụ Đại diện được ủy quyền của EU trong phạm vi hợp đồng đã ký kết.
Trừ khi có thỏa thuận riêng bằng văn bản, dịch vụ này không bao gồm:
- Kiểm thử xâm nhập
- Đánh giá mã nguồn
- Quét lỗ hổng bảo mật
- Hack đạo đức
- Xét nghiệm trong phòng thí nghiệm
- Chứng chỉ an ninh mạng
- Đánh giá sự phù hợp của cơ quan được thông báo
- Phát triển hoặc sửa đổi phần mềm
- Khắc phục sự cố phần mềm hoặc sửa lỗi bảo mật
- Giám sát liên tục các lỗ hổng kỹ thuật
- Dịch vụ trung tâm điều hành an ninh
- Phản hồi sự cố kỹ thuật
- Thiết kế lại sản phẩm hoặc phần mềm
- Việc nộp báo cáo của nhà sản xuất không được phép trừ khi có quy định rõ ràng trong văn bản ủy quyền và được pháp luật cho phép.
Khi cần thực hiện kiểm thử an ninh mạng kỹ thuật, EaseCert có thể giúp xác định phạm vi kiểm thử và phối hợp với phòng thí nghiệm an ninh mạng hoặc nhà cung cấp kỹ thuật đủ điều kiện.
Việc EaseCert được chỉ định làm Đại diện được ủy quyền của EU không đồng nghĩa với việc chứng nhận, phê duyệt sản phẩm hoặc xác nhận sản phẩm đó không có lỗ hổng an ninh mạng.
Nhà sản xuất vẫn chịu trách nhiệm pháp lý về an ninh mạng, sự phù hợp, tính chính xác của tài liệu và việc tiếp tục tuân thủ các quy định đối với sản phẩm của mình.
Thời gian xử lý
Hầu hết các cuộc kiểm tra tuân thủ ban đầu được hoàn tất trong khoảng 5 đến 10 ngày làm việc sau khi nhận được tất cả các tài liệu cần thiết.
Việc bổ nhiệm Đại diện được ủy quyền của EU có hiệu lực sau khi quá trình xem xét tài liệu hoàn tất, các sản phẩm được EaseCert chấp nhận và văn bản ủy quyền được cả hai bên ký kết.
Thời gian xử lý có thể thay đổi tùy thuộc vào độ phức tạp của sản phẩm, số lượng nhóm sản phẩm, tính đầy đủ của tài liệu đã nộp, lộ trình đánh giá sự phù hợp và liệu có cần thử nghiệm kỹ thuật bổ sung hay không.
Câu hỏi thường gặp
Đạo luật về khả năng phục hồi an ninh mạng của EU là gì?
Đạo luật về khả năng phục hồi mạng của EU thiết lập các yêu cầu an ninh mạng bắt buộc đối với các sản phẩm có yếu tố kỹ thuật số được đưa ra thị trường Liên minh châu Âu. Đạo luật này đề cập đến an ninh mạng trong suốt vòng đời sản phẩm, bao gồm thiết kế, phát triển, xử lý lỗ hổng, cập nhật bảo mật, tài liệu kỹ thuật, đánh giá sự phù hợp và giám sát sau khi đưa sản phẩm ra thị trường.
Dịch vụ này có bao gồm đại diện được ủy quyền của EU không?
Vâng. Việc chỉ định EaseCert GmbH làm Đại diện được ủy quyền của nhà sản xuất tại EU theo Đạo luật về Khả năng phục hồi mạng đã được bao gồm đối với các sản phẩm được chấp nhận trong phạm vi dịch vụ đã thỏa thuận.
Việc bổ nhiệm có hiệu lực sau khi quá trình xem xét tuân thủ hoàn tất và văn bản ủy quyền được nhà sản xuất và EaseCert ký kết.
EaseCert đóng vai trò gì với tư cách là Đại diện được ủy quyền của EU?
EaseCert lưu giữ Tuyên bố Hợp quy của EU và các tài liệu kỹ thuật để cung cấp cho các cơ quan giám sát thị trường, đáp ứng các yêu cầu có lý do chính đáng về thông tin tuân thủ và hợp tác với các cơ quan chức năng liên quan đến các sản phẩm thuộc phạm vi ủy quyền bằng văn bản.
Việc chỉ định EaseCert có chuyển giao trách nhiệm của nhà sản xuất không?
Không. Nhà sản xuất vẫn chịu trách nhiệm về thiết kế sản phẩm, phát triển phần mềm, quản lý rủi ro an ninh mạng, đánh giá sự phù hợp, tài liệu kỹ thuật, xử lý lỗ hổng bảo mật, cập nhật bảo mật, báo cáo sự cố, hành động khắc phục và tuân thủ liên tục.
Việc bổ nhiệm có cần phải được ghi lại không?
Đúng vậy. Việc bổ nhiệm được thiết lập thông qua một văn bản ủy quyền nêu rõ nhà sản xuất, EaseCert GmbH, các sản phẩm được bảo hiểm và các nhiệm vụ quản lý được giao cho EaseCert.
Những sản phẩm nào thuộc phạm vi điều chỉnh của Đạo luật về Khả năng phục hồi mạng (Cyber Resilience Act)?
Quy định này nhìn chung áp dụng cho các sản phẩm phần cứng và phần mềm có các yếu tố kỹ thuật số kết nối trực tiếp hoặc gián tiếp với thiết bị hoặc mạng khác. Điều này có thể bao gồm các sản phẩm tiêu dùng kết nối, thiết bị IoT, thiết bị mạng, sản phẩm kỹ thuật số công nghiệp, phần mềm nhúng và phần mềm độc lập.
Đạo luật về khả năng phục hồi mạng có áp dụng cho phần mềm độc lập không?
Trong nhiều trường hợp, câu trả lời là có. Phần mềm độc lập được đưa ra thị trường EU có thể thuộc phạm vi của Đạo luật về Khả năng phục hồi mạng, tùy thuộc vào cách thức cung cấp, mục đích sử dụng và liệu có áp dụng điều khoản loại trừ hay không.
Các yêu cầu của Đạo luật về khả năng phục hồi mạng (Cyber Resilience Act) có hiệu lực khi nào?
Đạo luật về khả năng phục hồi an ninh mạng có hiệu lực từ ngày 10 tháng 12 năm 2024. Các yêu cầu chính có hiệu lực từ ngày 11 tháng 12 năm 2027. Các nghĩa vụ báo cáo về lỗ hổng bảo mật và sự cố nghiêm trọng có hiệu lực từ ngày 11 tháng 9 năm 2026.
Danh mục vật liệu phần mềm là gì?
Danh mục thành phần phần mềm (SBOM) là một danh mục có cấu trúc gồm các thành phần phần mềm, thư viện, các phụ thuộc và các yếu tố của bên thứ ba được sử dụng trong một sản phẩm. Nó giúp các nhà sản xuất xác định xem sản phẩm có bị ảnh hưởng hay không khi phát hiện ra lỗ hổng bảo mật.
Tôi có cần kiểm tra an ninh mạng không?
Các yêu cầu kiểm thử phụ thuộc vào sản phẩm, rủi ro an ninh mạng, tiêu chuẩn áp dụng, phân loại sản phẩm và lộ trình đánh giá sự phù hợp. EaseCert xem xét các bằng chứng hiện có và xác định xem có cần kiểm thử bổ sung hoặc đánh giá của bên thứ ba hay không.
EaseCert có thực hiện kiểm thử xâm nhập không?
Không. Kiểm thử xâm nhập, phân tích mã nguồn, quét lỗ hổng bảo mật và kiểm thử an ninh mạng chuyên sâu phải được thực hiện bởi nhà cung cấp kỹ thuật đủ điều kiện. EaseCert có thể hỗ trợ xác định và phối hợp phạm vi kiểm thử cần thiết.
Sản phẩm này có được EaseCert chứng nhận không?
Không. EaseCert cung cấp hỗ trợ tuân thủ quy định và đóng vai trò là Đại diện được ủy quyền của EU. EaseCert không cấp chứng chỉ an ninh mạng, không thực hiện thử nghiệm trong phòng thí nghiệm hoặc đóng vai trò là Cơ quan được thông báo.
EaseCert có thể chuẩn bị các tài liệu cần thiết không?
Có. Tùy thuộc vào phạm vi đã thỏa thuận, EaseCert có thể chuẩn bị, xem xét hoặc tổ chức các tài liệu CRA, bao gồm đánh giá rủi ro an ninh mạng, tài liệu kỹ thuật, quy trình xử lý lỗ hổng, quy trình cập nhật phần mềm, tài liệu về thời gian hỗ trợ, thông tin bảo mật người dùng và Tuyên bố phù hợp của EU.
Có thể đặt lịch hẹn cho nhiều người mẫu khác nhau không?
Các mẫu sản phẩm có cùng nền tảng phần mềm, firmware, kiến trúc phần cứng, khả năng kết nối, cơ chế cập nhật, mục đích sử dụng và các biện pháp kiểm soát an ninh mạng đôi khi có thể được nhóm lại với nhau. EaseCert xem xét toàn bộ dòng sản phẩm trước khi xác nhận phạm vi áp dụng.
Dịch vụ này có bao gồm việc giám sát liên tục các lỗ hổng bảo mật không?
Không. Dịch vụ tiêu chuẩn không bao gồm giám sát kỹ thuật liên tục, vận hành an ninh, bảo trì phần mềm hoặc xử lý sự cố. Nhà sản xuất phải duy trì các quy trình an ninh mạng hậu mãi phù hợp trong suốt thời gian hỗ trợ áp dụng.
Dịch vụ này mất bao lâu?
Hầu hết các đánh giá ban đầu được hoàn tất trong khoảng 5 đến 10 ngày làm việc sau khi nhận được đầy đủ các tài liệu cần thiết. Cuộc hẹn với EAR bắt đầu khi quá trình đánh giá hoàn tất và văn bản ủy quyền được ký kết.
Bắt đầu dự án tuân thủ an ninh mạng EU và EAR của bạn
Hãy đặt hàng và EaseCert sẽ liên hệ với bạn qua email để cung cấp danh sách các tài liệu cần thiết, văn bản ủy quyền và các bước tiếp theo cho việc xem xét tuân thủ Đạo luật về khả năng phục hồi mạng và bổ nhiệm Đại diện được ủy quyền của EU.
Chia sẻ
