Na kratko
Ocena tveganj je tečaj, okoli katerega se vrti CRA. Določa, katere zahteve iz dela I(2) veljajo, kako se izpolnijo in kaj lahko utemeljite kot neuporabno.
Kaj zahteva člen 13
| Odstavek | Zahteva |
|---|---|
| 13(2) | Oceniti tveganja za kibernetsko varnost in upoštevati izid pri načrtovanju, zasnovi, razvoju, proizvodnji, dobavi in vzdrževanju |
| 13(3) | Oceno dokumentirati in jo posodabljati v obdobju podpore. Analizirati tveganja na podlagi predvidenega namena, razumno predvidljive uporabe, pogojev uporabe, delovnega okolja in sredstev ter pričakovanega časa uporabe |
| 13(3) | Navesti, ali in kako veljajo zahteve iz Priloge I, del I(2), ter kako se uporabljata del I(1) in del II |
| 13(4) | Oceno vključiti v tehnično dokumentacijo, z jasno utemeljitvijo, kjer bistvena zahteva ne velja |
Kaj vsebuje dobra ocena
- Opredelitev izdelka: predvideni namen, razumno predvidljiva uporaba in napačna uporaba, delovno okolje, življenjska doba.
- Sredstva in podatki, vredni zaščite, ter uporabniki.
- Arhitektura in napadna površina, vključno z daljinsko obdelavo podatkov in zunanjimi vmesniki.
- Grožnje in primeri zlorabe, najbolje iz strukturiranega modela groženj.
- Vrednotenje tveganj: verjetnost in vpliv, vključno z učinki na zdravje in varnost, kjer so pomembni.
- Kontrole, preslikane na Prilogo I, del I(2), in na obravnavo ranljivosti iz dela II.
- Preostalo tveganje in predpostavke, ki jih morajo izpolniti uporabniki.
- Sprožilci pregleda in lastnik.
Dodatno praktično gradivo ponuja ENISA Secure by Design and Default Playbook.
Dokazila, ki jih hranite
Datirana ocena, model groženj, utemeljitve uporabnosti za vsako točko Priloge I in zgodovina posodobitev.
Pogosta napaka
Oceno napisati, ko je zasnova že zamrznjena. Člen 13(2) pričakuje, da se izid upošteva že od načrtovanja naprej.
Naslednji korak
Glejte storitev ocene tveganj za kibernetsko varnost izdelka.
Ustrezna storitev
Proizvajalcem pomagamo to zahtevo pretvoriti v proces in dokazila.
Sorodni vodiči
- Priloga I CRA, razložena
- Kontrolni seznam tehnične dokumentacije po Prilogi VII CRA
- Zahteve CRA glede varnosti v zasnovi in privzete varnosti
Ta vodič razlaga uredbo in daje praktična priporočila. Ni pravno svetovanje. Regulativna dejstva in naša priporočila so označena ločeno. Glejte našo uredniško politiko.