Cyber Resilience Act: nové usmernenia agentúry ENISA k SBOM a bezpečným aktualizáciám
ENISA zverejnila technické odporúčania k zoznamom softvérových komponentov (22. októbra) a bezpečným aktualizáciám (4. novembra) pre výrobcov podľa CRA.
Agentúra Európskej únie pre kybernetickú bezpečnosť (ENISA) zverejnila 22. októbra 2026 Technical Advisory for Software Bill of Materials a 4. novembra 2026 Technical Advisory on Secure Update Mechanisms. Oba dokumenty sú určené výrobcom podľa Cyber Resilience Act (CRA), najmä malým a stredným. Ide o usmernenia, nie o právo, a nezakladajú predpoklad zhody.
Čo sa mení
CRA vyžaduje SBOM v bežne používanom strojovo čitateľnom formáte, ktorý pokrýva aspoň závislosti najvyššej úrovne, a orgán dohľadu nad trhom si ho môže vyžiadať (príloha I časť II a príloha VII). Bezpečnostné aktualizácie sa musia šíriť bezpečne, bez zbytočného odkladu a bezplatne, podľa možnosti oddelene od funkčných aktualizácií. ENISA teraz ukazuje, ako to urobiť v praxi:
- SBOM: používať CycloneDX alebo SPDX, vytvárať SBOM pri každom zostavení a potom ho overovať, podpisovať, ukladať a udržiavať. Uchovávať dôkazy pre audity a žiadosti úradov a zaznamenávať medzery v pokrytí.
- Aktualizácie: podpisovať metadáta a chrániť kľúče, prijímať aktualizácie len z dôveryhodných zdrojov cez šifrované spojenie a odmietať zastarané alebo opakované metadáta. Kde je to možné, inštalovať bezpečnostné aktualizácie predvolene automaticky a ku každej oprave zverejniť jasné upozornenie.
Kľúčové dátumy
- 11. septembra 2026: hlásenie aktívne zneužívaných zraniteľností a závažných incidentov cez jednotnú platformu na podávanie hlásení agentúry ENISA už platí. Spoločné vyhlásenia EÚ ku kritickým zraniteľnostiam PHP (21. októbra) a k incidentom chladiacich systémov (4. novembra) to výrobcom pripomenuli.
- 11. decembra 2027: CRA sa uplatňuje v plnom rozsahu vrátane SBOM, bezpečných aktualizácií a obdobia podpory najmenej päť rokov, ak sa nepredpokladá kratšie používanie výrobku (čl. 13 ods. 8).
Viac: Cyber Resilience Act: hlásenie už platí.
Čo robiť teraz
Spíšte výrobky v pôsobnosti, ku každému vydaniu vytvorte SBOM a overte, kto smie aktualizáciu podpísať a ako ju zariadenia kontrolujú. Dazr Compliance to spája v jednom module CRA: klasifikácia výrobkov, nahranie SBOM vo formáte CycloneDX alebo SPDX JSON s kontrolou známych zraniteľností, lehoty hlásení podľa článku 14 a technická dokumentácia podľa prílohy VII.
Zdroje
- ENISA: Technical Advisory for Software Bill of Materials (22 October 2026)
- ENISA: Technical Advisory on Secure Update Mechanisms (4 November 2026)
- Regulation (EU) 2024/2847 (Cyber Resilience Act), Articles 13 and 71, Annexes I and VII
- European Commission: Joint statement on critical PHP vulnerabilities (21 October 2026)
- European Commission: Joint statement on cyber incidents in refrigeration systems across the EU (4 November 2026)
Len na informačné účely, nejde o právne poradenstvo. Naposledy aktualizované 7. novembra 2026.
K dispozícii aj v jazyku: English, Nederlands, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Dansk, Svenska, Norsk bokmål