Cyber Resilience Act: nowe wytyczne ENISA dotyczące SBOM i bezpiecznych aktualizacji
ENISA opublikowała porady techniczne o wykazach komponentów oprogramowania (22 października) i bezpiecznych aktualizacjach (4 listopada) dla CRA.
Agencja Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA) opublikowała 22 października 2026 r. Technical Advisory for Software Bill of Materials, a 4 listopada 2026 r. Technical Advisory on Secure Update Mechanisms. Oba dokumenty są skierowane do producentów objętych Cyber Resilience Act (CRA), zwłaszcza małych i średnich. To wytyczne, a nie prawo, i nie dają domniemania zgodności.
Co się zmienia
CRA wymaga SBOM w powszechnie stosowanym formacie nadającym się do odczytu maszynowego, obejmującego co najmniej zależności najwyższego poziomu, a organ nadzoru rynku może go zażądać (załącznik I część II i załącznik VII). Aktualizacje zabezpieczeń muszą być rozpowszechniane bezpiecznie, bez zwłoki i bezpłatnie, w miarę możliwości oddzielnie od aktualizacji funkcjonalnych. ENISA pokazuje teraz, jak to zrobić w praktyce:
- SBOM: korzystać z CycloneDX lub SPDX, generować SBOM przy każdej kompilacji, a następnie go walidować, podpisywać, przechowywać i utrzymywać. Zachowywać dowody na potrzeby audytów i żądań organów oraz dokumentować luki w pokryciu.
- Aktualizacje: podpisywać metadane i chronić klucze, przyjmować aktualizacje tylko z zaufanych źródeł przez szyfrowane połączenia i odrzucać nieaktualne lub powtórzone metadane. Tam, gdzie to możliwe, domyślnie instalować aktualizacje zabezpieczeń automatycznie i publikować jasny komunikat z każdą poprawką.
Kluczowe daty
- 11 września 2026 r.: zgłaszanie aktywnie wykorzystywanych podatności i poważnych incydentów przez pojedynczą platformę zgłoszeń ENISA już obowiązuje. Przypomniały o tym producentom wspólne oświadczenia UE w sprawie krytycznych podatności PHP (21 października) oraz incydentów w systemach chłodniczych (4 listopada).
- 11 grudnia 2027 r.: CRA stosuje się w całości, w tym SBOM, bezpieczne aktualizacje i okres wsparcia wynoszący co najmniej pięć lat, chyba że produkt ma być używany krócej (art. 13 ust. 8).
Więcej: Cyber Resilience Act: zgłaszanie już obowiązuje.
Co zrobić teraz
Sporządź listę objętych produktów, twórz SBOM dla każdego wydania i sprawdź, kto może podpisać aktualizację i jak urządzenia ją weryfikują. Dazr Compliance łączy to w jednym module CRA: klasyfikacja produktów, wczytywanie SBOM w CycloneDX lub SPDX JSON ze sprawdzaniem znanych podatności, terminy zgłoszeń z art. 14 i dokumentacja techniczna z załącznika VII.
Źródła
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Wyłącznie w celach informacyjnych, nie stanowi porady prawnej. Ostatnia aktualizacja: 7 listopada 2026.
Dostępne także w języku: English, Nederlands, Italiano, Deutsch, Français, Español, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål