CRA monitoring – co powinien obserwować producent?
- podatności zgłaszane przez użytkowników i badaczy
- alerty dotyczące komponentów i zależności powiązanych z SBOM
- wyniki własnych testów bezpieczeństwa i przeglądów
- incydenty oraz sygnały aktywnego wykorzystania podatności
- skuteczność i dystrybucję opublikowanych aktualizacji
- zmiany ryzyka dla wspieranych wersji produktu
Minimalna pętla operacyjna
- vulnerability intake i punkt kontaktu
- triage oraz ocena wpływu na konkretne wersje
- powiązanie z SBOM i zależnościami
- priorytetyzacja, remediation i testy
- bezpieczna dystrybucja aktualizacji
- coordinated vulnerability disclosure
- ocena obowiązku raportowania CRA
Reporting wymusza szybką eskalację
Gdy zdarzenie może spełniać kryteria z art. 14, zespół musi umieć w krótkim czasie ustalić fakty, właściciela produktu, kraje udostępnienia i działania łagodzące. Terminy 24h i 72h biegną od uzyskania wiedzy przez producenta.
Mierz skuteczność
- czas do triage i decyzji
- czas do gotowej poprawki
- pokrycie produktów aktualnym SBOM
- odsetek wspieranych wersji
- skuteczność dystrybucji aktualizacji
- wyniki ćwiczeń reportingowych
PRIMARY SOURCES
Oficjalne źródła
Podstawa materiału została sprawdzona 1 września 2026.
RegulationRozporządzenie (UE) 2024/2847 – Cyber Resilience ActEUR-Lex · 23 października 2024Otwórz oficjalne źródło ↗Commission GuidanceC(2026) 5252 – guidance on the application of the CRAKomisja Europejska · 27 lipca 2026Otwórz oficjalne źródło ↗ENISA GuidanceSingle Reporting Platform (SRP)ENISA · 17 lipca 2026Otwórz oficjalne źródło ↗