01
Katalog PDE
Produkty, wersje, rynki i data wprowadzenia. Widać, co podlega CRA.
Cyber Resilience Act
Mapa produktów
Ryzyko
SBOM
Dokumentacja
On-premise
Pomagamy producentom prowadzić cyberbezpieczeństwo produktu zgodnie z CRA.
Mapa produktów, ocena ryzyka, SBOM, dokumentacja i obsługa podatności. Jeden system, zanim wyrób wejdzie na rynek UE.
Zakres
CRA to nie skaner podatności
Podatności i zegar art. 14 są jednym z modułów. System prowadzi mapę produktów, ocenę ryzyka, SBOM, plik techniczny i ścieżkę do znaku CE.
02
Annex I
Wymagania zasadnicze przypięte do produktu, z oceną ryzyka i lukami.
03
SBOM i komponenty
Lista składników, pochodzenie, licencje i znane podatności.
04
Podatności
Obsługa przez deklarowany okres wsparcia, z zegarem 24h / 72h.
05
Dokumentacja
Plik techniczny gotowy na żądanie organu nadzoru rynku.
06
Ścieżka CE
Ocena zgodności, deklaracja UE i znak, zanim produkt wyjdzie z magazynu.
Jak wygląda praca tydzień po instalacji
- 1
Katalog
Wchodzą wyroby: nazwa, wersja, typ (urządzenie / software / komponent), rynki, data udostępnienia, koniec okresu wsparcia.
- 2
Zakres
Na każdym PDE znaczycie, czy CRA dotyczy, kto jest producentem w rozumieniu rozporządzenia i czy jest istotna zmiana.
- 3
Ryzyko i Annex I
Ocena ryzyka wiąże się z wymaganiami zasadniczymi. Luka nie żyje w osobnym Excelu.
- 4
SBOM
Składniki z CI albo z importu, powiązane z CVE. Należyta staranność wobec dostawcy zostaje przy komponencie.
- 5
Art. 14 i CE
Kolejka podatności z zegarem 24h/72h. Plik techniczny, deklaracja UE, znak - zanim wyrób wyjdzie z magazynu.
Dla kogo jest Crado AI
- Producent sprzętu albo oprogramowania, który wprowadza wyrób na rynek UE pod własną nazwą.
- Importer, który stawia na rynku produkt spoza Unii i przejmuje obowiązki producenta.
- Zespół Quality / Product Security / CTO, który musi złożyć plik techniczny, a nie slajd.
- Firma 20–250 osób z katalogiem PDE, bez osobnego działu conformity na 15 etatów.
Czego tu nie ma
- Chmury SaaS. Wdrożenie jest tylko on-premise.
- Cennika publicznego i „kup teraz”.
- Zastępstwa jednostki notyfikowanej ani opinii prawnej kancelarii.
- Modułu NIS2, AI Act albo DORA. To jest system pod CRA.
Wyłącznie on-premise
SBOM, ocena ryzyka i plik techniczny zostają w waszej sieci. Nie prowadzimy chmury produktowej i nie prosimy o wysyłanie dokumentacji na zewnątrz.
- Aplikacja i baza na waszej infrastrukturze (VM albo Kubernetes).
- Tożsamość podłączacie do swojego IdP (OIDC / SAML).
- Kopie i sieć zostają w waszym standardzie.
- Nie ma tenanta w naszej chmurze i nie ma planu SaaS.
Branże
Ta sama regulacja, inny produkt
Oprogramowanie
Software sprzedawany w UE jest PDE.
Nie musicie robić urządzenia, żeby wejść w CRA. Aplikacja, biblioteka, system wbudowany sprzedawany osobno - to produkt z elementami cyfrowymi, jeśli wprowadzacie go na rynek pod własnym znakiem.
IoT
Urządzenie wychodzi z fabryki razem z obowiązkiem wsparcia.
CRA wymaga, żeby produkt nie szedł na rynek z znaną podatnością do wykorzystania, miał bezpieczne ustawienia domyślne i aktualizacje w zadeklarowanym okresie. To boli bardziej przy sprzęcie z firmware niż przy SaaS.
Przemysł
Maszyna z sterownikiem też jest produktem z elementami cyfrowymi.
Linia, sterownik, HMI, bramka - jeśli wprowadzacie to na rynek UE jako wyrób, CRA pyta o projekt, komponenty i utrzymanie. Klienci przemysłowi nie chcą, żeby ten plik leżał w cudzej chmurze.
Elektronika
Znak CE po CRA to nie tylko EMC i LVD.
Do dotychczasowych dyrektyw dochodzi cyberbezpieczeństwo jako właściwość wyrobu. Producent musi mieć ocenę ryzyka, skład i okres wsparcia, zanim wyrób wejdzie do obrotu.
Kalendarz
Terminy, które wyznaczają tempo
- 01
10 grudnia 2024
Wejście w życie
Rozporządzenie obowiązuje. Pełne stosowanie wymagań zasadniczych przychodzi później.
- 02
11 czerwca 2026
Jednostki oceny zgodności
Zaczynają obowiązywać przepisy o notyfikacji jednostek oceny zgodności.
- 03
11 września 2026
Zgłoszenia z art. 14
Producent zgłasza aktywnie wykorzystywane podatności i poważne incydenty: wczesne ostrzeżenie w 24h, pełne zgłoszenie w 72h, potem raport końcowy.
- 04
11 grudnia 2027
Wymagania zasadnicze i CE
Produkt wprowadzany na rynek musi spełniać Annex I, przejść ocenę zgodności, mieć deklarację UE i znak CE. Trzeba utrzymać ocenę ryzyka, dokumentację, SBOM i okres wsparcia.
Baza wiedzy
Zasoby pod CRA
Skróty do najważniejszych fragmentów rozporządzenia i narzędzia, które dodajemy.
Blog CRA
Mapa produktów, ryzyko, dokumentacja i daty z rozporządzenia.
Terminy CRA
10.2024 wejście w życie, 09.2026 art. 14, 12.2027 znak CE.
Annex I w skrócie
Wymagania zasadnicze: właściwości produktu i obsługa podatności.
Role w łańcuchu
Producent, importer, dystrybutor, autoryzowany przedstawiciel.
Zegar art. 14
Wczesne ostrzeżenie 24h, pełne zgłoszenie 72h, raport końcowy.
Checklista Annex I
WkrótceLista kontrolna wymagań zasadniczych do pliku technicznego.
Kalkulator okresu wsparcia
WkrótcePolicz koniec wsparcia i datę EOL dla wyrobu.
Pytania, które i tak padną
Czy Crado AI to skaner podatności?
Nie. Podatności i zegar art. 14 są jednym z modułów. System prowadzi mapę produktów (PDE), ocenę ryzyka i Annex I, SBOM, dokumentację techniczną i ścieżkę do znaku CE.
Czy samodzielne oprogramowanie podlega CRA?
Tak, jeśli wprowadzacie je na rynek Unii pod własną nazwą lub znakiem. PDE to nie tylko pudełko z elektroniką.
Co się dzieje 11 września 2026?
Zaczyna obowiązywać art. 14: aktywnie wykorzystywane podatności i poważne incydenty. Wczesne ostrzeżenie w 24h, pełne zgłoszenie w 72h, potem raport końcowy. Przez jednolity punkt do CSIRT siedziby i do ENISA.
A 11 grudnia 2027?
Wymagania zasadnicze z Annex I, ocena zgodności, deklaracja UE i znak CE przy wprowadzaniu na rynek. Ocena ryzyka, SBOM, dokumentacja i okres wsparcia muszą już być prowadzone.
Czy to chmura?
Nie. Crado AI instalujecie u siebie. SBOM i plik techniczny nie wychodzą na nasz serwer.
Czy zastępujecie jednostkę notyfikowaną?
Nie. System zbiera dowody i prowadzi proces. Ocena zgodności i ewentualna jednostka zostają po waszej stronie.
Ile produktów da się objąć?
Od kilku SKU do katalogu rzędu setek. Na rozmowie liczy się liczba PDE i to, czy macie już SBOM z pipeline.
Skąd biorą się dane w mockupach?
To fikcyjny katalog (Gate-240, Lens OS). Pokazuje gęstość interfejsu, nie dane klienta.
Gdzie idzie formularz?
Na hello@crado.eu. Odpowiadamy na adres, który podacie.