Cyber Resilience Act: noi ghiduri ENISA privind SBOM și actualizările sigure
ENISA a publicat avize tehnice privind listele de componente software (22 octombrie) și mecanismele de actualizare sigure (4 noiembrie) pentru CRA.
Agenția Uniunii Europene pentru Securitate Cibernetică (ENISA) a publicat la 22 octombrie 2026 un Technical Advisory for Software Bill of Materials și la 4 noiembrie 2026 un Technical Advisory on Secure Update Mechanisms. Ambele se adresează producătorilor care intră sub Cyber Resilience Act (CRA), în special IMM-urilor. Sunt ghiduri, nu lege, și nu oferă prezumție de conformitate.
Ce se schimbă
CRA cere un SBOM într-un format utilizat în mod obișnuit și care poate fi citit automat, care să acopere cel puțin dependențele de nivel superior, iar o autoritate de supraveghere a pieței îl poate solicita (anexa I partea II și anexa VII). Actualizările de securitate trebuie distribuite sigur, fără întârziere și gratuit, separat de cele funcționale acolo unde este posibil. ENISA arată acum cum se face acest lucru în practică:
- SBOM: folosiți CycloneDX sau SPDX, generați un SBOM la fiecare build, apoi validați-l, semnați-l, stocați-l și întrețineți-l. Păstrați dovezi pentru audituri și solicitările autorităților și documentați lacunele de acoperire.
- Actualizări: semnați metadatele și protejați cheile, acceptați actualizări doar din surse de încredere prin conexiuni criptate și respingeți metadatele vechi sau reluate. Instalați automat, implicit, actualizările de securitate acolo unde este posibil și publicați un aviz clar cu fiecare corecție.
Date-cheie
- 11 septembrie 2026: raportarea vulnerabilităților exploatate activ și a incidentelor grave prin platforma unică de raportare a ENISA se aplică deja. Declarațiile comune ale UE privind vulnerabilitățile critice din PHP (21 octombrie) și incidentele care afectează sistemele de refrigerare (4 noiembrie) le-au reamintit producătorilor acest lucru.
- 11 decembrie 2027: CRA se aplică integral, inclusiv SBOM, actualizări sigure și o perioadă de asistență de cel puțin cinci ani, cu excepția cazului în care produsul este destinat unei utilizări mai scurte (articolul 13 alineatul (8)).
Mai multe: Cyber Resilience Act: raportarea a început.
Ce faceți acum
Inventariați produsele vizate, generați un SBOM pentru fiecare versiune și verificați cine poate semna o actualizare și cum o verifică dispozitivele. Dazr Compliance reunește totul într-un modul CRA: clasificarea produselor, încărcarea SBOM în CycloneDX sau SPDX JSON cu verificarea vulnerabilităților cunoscute, termenele de raportare din articolul 14 și documentația tehnică din anexa VII.
Surse
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Doar cu titlu informativ, nu constituie consultanță juridică. Ultima actualizare: 7 noiembrie 2026.
Disponibil și în: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål