Aplikacja sprzedawana pod waszym znakiem
Desktop, mobile, narzędzie inżynierskie, klient on-prem. Jeśli nazwa na listingu jest wasza, zaczynacie od założenia, że to PDE.
Oprogramowanie
Software sprzedawany w UE jest PDE.
Nie musicie robić urządzenia, żeby wejść w CRA. Aplikacja, biblioteka, system wbudowany sprzedawany osobno - to produkt z elementami cyfrowymi, jeśli wprowadzacie go na rynek pod własnym znakiem.
Umów rozmowę
Rozporządzenie (UE) 2024/2847 nie pyta, czy sprzedajecie pudełko. Pyta, czy wprowadzacie produkt z elementami cyfrowymi na rynek Unii pod własną nazwą lub znakiem. Aplikacja, biblioteka, SDK, system wbudowany sprzedawany osobno - to PDE. Daty są te same co dla sprzętu: art. 14 od 11 września 2026, wymagania zasadnicze i CE od 11 grudnia 2027.
Skaner repozytorium nie zastąpi katalogu wersji, oceny ryzyka wobec Annex I ani deklaracji UE. CRA dotyczy wyrobu, który wychodzi na rynek, nie „całego backlogu firmy”. Istotna zmiana to nowe wprowadzenie: nowa wersja główna, nowa funkcja cyfrowa, która zmienia ryzyko, rebrand, po którym to wy jesteście producentem w dokumentach.
Plik musi dać się złożyć bez wynoszenia kodu źródłowego z sieci. Crado AI stoi on-premise właśnie dlatego: SBOM, kolejka CVE i ścieżka CE zostają u was.
Co w software jest produktem z elementami cyfrowymi
Biblioteka, SDK, runtime
Komponent sprzedawany osobno jest osobnym wyrobem. Należyta staranność wobec zależności zostaje przy was, nawet jeśli kod jest open source.
Oprogramowanie wbudowane sprzedawane osobno
Firmware albo stack, który licencjonujecie bez płyty, nie ucieka z zakresu tylko dlatego, że „to nie jest urządzenie”.
Wewnętrzne narzędzie to nie zwolnienie z automatu
Zakres liczy się przy wprowadzeniu na rynek. Jeśli to samo oprogramowanie idzie do klienta pod waszym znakiem, wiersz w katalogu jest potrzebny.
Typowe tarcia
- SBOM z CI, a nie z arkusza po premierze.
- Okres wsparcia, którego sprzedaż nie obiecała, a rozporządzenie wymaga.
- Zgłoszenie aktywnie wykorzystywanej podatności w 24 godziny.
Co Crado AI trzyma
- Wersje produktu powiązane z SBOM i CVE.
- Annex I na właściwościach oprogramowania: aktualizacje, domyślna konfiguracja, brak znanych exploitów przy wprowadzeniu.
- Ścieżka dokumentacji i CE bez wynoszenia kodu poza waszą sieć.
Co zwykle boli software house
- Wersja w sklepie i wersja w SBOM rozjeżdżają się po dwóch sprintach.
- Okres wsparcia obiecany „dopóki płacą subskrypcję” nie ma miesiąca i roku na opakowaniu.
- CVE w zależności produkcyjnej wychodzi w piątek, a art. 14 nie czeka do poniedziałku.
Jak CRA pada na software
- Katalog wersji z datą udostępnienia i końcem wsparcia z miesiącem i rokiem, nie „dopóki trwa subskrypcja”.
- SBOM z pipeline, zablokowany do wersji w sklepie, nie zrzut monorepo z main.
- Annex I część I: bezpieczne defaulty, aktualizacje z jasnym opt-out, brak znanych podatności do wykorzystania przy wprowadzeniu.
- Annex I część II i art. 14: kolejka, właściciel, zegar 24h / 72h do CSIRT siedziby i ENISA.
- Plik techniczny i deklaracja UE przed tym, jak wersja wyjdzie z kanału dystrybucji.
Co postawić, zanim ruszy art. 14
-
01
Wersje jako PDE
Każdy release, który jest na rynku Unii, ma wiersz: nazwa, wersja, rynki, data, koniec wsparcia.
-
02
SBOM z CI
Build, który nie zgadza się z SBOM, nie wychodzi. Linie obce mają dostawcę i wersję.
-
03
Ryzyko na Annex I
Luka nie żyje w Jirze obok. Wskazuje wymaganie, którego nie spełnia.
-
04
Kolejka 24h
Nazwany właściciel, ścieżka do jednolitego punktu, drill na zależności produkcyjnej.
Pytania od software house
Czy SaaS spada pod CRA?
CRA dotyczy produktu z elementami cyfrowymi wprowadzanego na rynek. Czysta usługa w chmurze to inna rozmowa. Klient on-prem, instalator, biblioteka albo aplikacja pod waszym znakiem - zaczynacie od PDE i dokumentujecie, jeśli uważacie, że nie.
Czy open source nas zwalnia?
Nie z należytej staranności, jeśli wprowadzacie wyrób pod własną nazwą i w środku są zależności obce. SBOM i ocena zostają przy produkcie, który wysyłacie.
Czy każda poprawka to nowe wprowadzenie?
Nie. Istotna zmiana tak. Nowa wersja główna albo funkcja, która zmienia ryzyko cyberbezpieczeństwa, dostaje nowy wiersz, nowy SBOM i nową decyzję wobec Annex I.
Po co on-premise przy software?
SBOM i plik techniczny opisują skład waszego kodu. Nie muszą lądować na serwerze dostawcy systemu CRA.
Inne branże
IoT
Urządzenia połączone, firmware i okres wsparcia.
Przemysł
Maszyny, sterowniki i automatyka z elementami cyfrowymi.
Elektronika
Elektronika i hardware: plik techniczny i znak CE.
Porozmawiajmy o katalogu wersji
20 minut. Ile produktów na rynku Unii, czy SBOM wychodzi z CI, kto jest producentem w umowie.
Umów rozmowęWdrożenie u was
Instalacja na infrastrukturze klienta. Kopie zapasowe, tożsamość i sieć zostają w waszym standardzie. Nie ma planu SaaS.
Produkt