Co wynika z CRA, a co jest praktyką operacyjną?
Artykuł 13 ust. 5 CRA wymaga od producenta due diligence wobec komponentów pochodzących od stron trzecich. Obowiązki obsługi podatności dotyczą produktu wraz z jego komponentami, a dokumentacja techniczna ma odzwierciedlać ocenę ryzyka i sposób spełnienia wymagań.
CRA nie ustanawia obowiązkowego formularza Supplier Evidence Request ani obowiązku używania Supplier Portal. To kontrolowany workflow, który pomaga zebrać źródłowe twierdzenia i dokumenty bez uznawania ich automatycznie za dowód zgodności produktu.
Jakie dane zbierać od dostawcy komponentu?
| Obszar | Dane lub dokument | Kontekst, który trzeba zapisać |
|---|---|---|
| Tożsamość | nazwa dostawcy i security contact | źródło danych, data weryfikacji i osoba odpowiedzialna |
| Komponent | nazwa, dokładna wersja i identyfikatory | produkt, release i occurrence, do których informacja się odnosi |
| SBOM | CycloneDX, SPDX albo inny maszynowo czytelny wykaz | wersja komponentu, data wygenerowania, zakres zależności i wersja pliku |
| Wsparcie | support period i polityka security updates | źródło oświadczenia, data końcowa lub jawny brak daty |
| Podatności | known vulnerabilities, VEX i polityka disclosure | zakres wersji, status źródłowy, uzasadnienie i data wydania |
| Dokumentacja | dokumentacja security lub conformity | dokładny produkt albo komponent, wersja dokumentu i okres zastosowania |
Supplier Evidence Request — kontrolowany przebieg
Dostawca może otrzymać ograniczony, wygasający link do jednego żądania bez konta w Workspace. Widzi wyłącznie zakres potrzebny do odpowiedzi. Zmiana wysłanego żądania powinna tworzyć następną wersję, a nie nadpisywać historię.
- REQUESTED — żądanie zostało jawnie wysłane
- VIEWED — dostawca otworzył aktualny dostęp
- PARTIAL — część odpowiedzi została zachowana
- SUBMITTED — dostawca zakończył przekazywanie odpowiedzi
- UNDER_REVIEW — trwa wewnętrzny przegląd
- ACCEPTED_FOR_RECORD — materiał przyjęto do rejestru, bez konkluzji prawnej lub technicznej
- EXPIRED — wygasł czas odpowiedzi albo dostęp
Supplier evidence freshness zależy od dokładnego targetu
Dokument dla Component X v3.2 używanego w Product A Release 4.1 nie staje się automatycznie aktualny dla v3.3 albo innego release'u. Freshness trzeba wyznaczać dla konkretnej wersji evidence i jawnego powiązania supplier ↔ component occurrence ↔ product ↔ release.
Jeżeli brakuje wersji, daty ważności albo dokładnego targetu, bezpiecznym wynikiem jest UNDETERMINED lub REVIEW_REQUIRED. Data uploadu, termin odpowiedzi ani deklarowany support period nie mogą być używane jako zgadywana data ważności dokumentu.
Jak Supplier Evidence działa w CRA Workspace
- Supplier entity i security contact bez tworzenia równoległego Product Inventory
- jawne linki do istniejących Product Releases i component occurrences
- gotowe requesty: SBOM, VEX, component version, support period i polityki bezpieczeństwa
- accountless Supplier Portal ograniczony do jednego requestu
- wersjonowane pliki w istniejącym Evidence Vault
- przegląd ACCEPTED_FOR_RECORD i konserwatywna ocena freshness
- jawny handoff zaakceptowanego SBOM lub VEX do istniejącego workflow Vulnerability Intelligence
Supplier evidence w CRA — FAQ
Czy CRA wymaga Supplier Portal?
Nie. CRA wymaga od producenta odpowiedniego due diligence wobec komponentów zewnętrznych, ale nie wskazuje konkretnego portalu ani formularza. Supplier Portal jest sposobem uporządkowania żądań, odpowiedzi, wersji i historii.
Czy dokument dostawcy potwierdza zgodność produktu z CRA?
Nie. Dokument lub oświadczenie dostawcy jest źródłem do oceny producenta. ACCEPTED_FOR_RECORD oznacza przyjęcie materiału do wskazanego rekordu, a nie weryfikację autentyczności, wystarczalności prawnej, conformity assessment ani CRA compliance.
Jak często odnawiać supplier evidence?
Nie ma jednej częstotliwości dla wszystkich dokumentów. Przegląd jest potrzebny po zmianie komponentu, wersji produktu, zakresu dokumentu, wskazanej daty ważności albo pojawieniu się nowych informacji o podatności lub wsparciu.
Czy support period dostawcy wyznacza support period produktu?
Nie automatycznie. Okres wsparcia komponentu zewnętrznego jest jednym z czynników, które producent może uwzględnić. Pozostaje źródłowym twierdzeniem i nie powinien bez decyzji producenta zmieniać support period produktu.
Czy dostawca potrzebuje konta w Workspace?
Nie w accountless Supplier Portal. Dostawca otrzymuje ograniczony i wygasający dostęp do jednego requestu; nie uzyskuje konta członka organizacji ani dostępu do pozostałych produktów, dostawców i Evidence Vault.
Oficjalne źródła
Podstawa materiału została sprawdzona 1 września 2026.