01 / Seguridad por diseño, Gestión y control del ciclo de vida completo, y sistema coordinado de manejo de vulnerabilidades
Nuestra empresa ha lanzado por completo una revisión y actualización de nuestros productos., R&procesos D, y sistemas de documentación de respaldo para cumplir con los requisitos de cumplimiento de la Ley de Resiliencia Cibernética de la UE (CRA), al mismo tiempo que se implementan los requisitos de ciberseguridad RED de la UE ya vigentes (ROJO SI / EN 18031). Centrado en la seguridad por diseño, Gobernanza de seguridad del producto durante todo el ciclo de vida., y un proceso estandarizado y coordinado de manejo de vulnerabilidades., Todo el programa de cumplimiento cubre el establecimiento de evidencia de cumplimiento de extremo a extremo para módulos inalámbricos Bluetooth..
1.1 Puntos centrales del Reglamento CRA
La CRA establece requisitos obligatorios unificados de ciberseguridad para los productos con elementos digitales comercializados en el mercado de la UE, que cubre cinco obligaciones básicas: procesos de desarrollo seguros, manejo de vulnerabilidades de circuito cerrado, instrucciones de seguridad del usuario, documentación técnica completa, y garantía de actualización de seguridad a largo plazo.
Nuestras especificaciones de seguridad de productos existentes, Mecanismo de respuesta PSIRT, y el sistema de certificación de seguridad de terceros ya están alineados con los requisitos de la CRA, y continuamos perfeccionando los materiales de respaldo para brindarles a los clientes un soporte completo de cumplimiento de la CRA..
1.2 Cronología clave de la CRA
2024.12.12
Publicado y entrado en vigor en el Diario Oficial de la UE
2026.09.11
Entran en vigor las obligaciones unificadas de notificación de vulnerabilidad de la UE
2027.12.11
Cumplimiento obligatorio total de todas las disposiciones de la CRA; Los productos digitales vendidos en la UE deben completar una demostración de cumplimiento.
02 / ROJO SI / EN 18031 Cumplimiento transitorio
2.1 / Ámbito de aplicación: Cláusulas RED de Ciberseguridad 3.3(d)(mi)(F) Son obligatorios para nuestros módulos
Los requisitos de ciberseguridad en el artículo RED 3.3(d)(mi)(F) se volvió obligatorio el 2025.08.01 vía Reglamento Delegado (UE) 2022/30 (ROJO SI), aplicable a las categorías pertinentes de equipos radioeléctricos definidos en el mismo. Nuestros módulos WiFi y los módulos Bluetooth utilizados en los escenarios antes mencionados entran dentro del ámbito de aplicación y deben satisfacer: protección de red 3.3(d), protección de datos personales y privacidad 3.3(mi), y protección contra fraude 3.3(F).
2.2 / Vía de estándares armonizados: EN 18031 Serie citada por la UE
La UE ha incluido EN 18031-1/-2/-3:2024 como estándares armonizados para RED 3.3(d)(mi)(F) (correspondiente a la protección de la red, protección de datos y privacidad, y protección de activos financieros respectivamente). El cumplimiento de estas normas da una presunción de conformidad., permitiendo a los clientes completar su Declaración de conformidad CE. Estamos construyendo evidencia de evaluación a nivel de módulo de acuerdo con esta serie de estándares., directly supporting our customers' end-product certification.
2.3 / Evidencia de cumplimiento a nivel de módulo que proporcionamos
- Declaraciones de conformidad a nivel de módulo e informes de autoevaluación según EN 18031-1/-2/-3;
- Documentación de diseño de seguridad. (arranque seguro, cifrado de hardware, aislamiento de claves, configuración segura por defecto) y PSA / ISO 27001 certificaciones de evaluación de seguridad;
- Manejo de vulnerabilidades PSIRT y mecanismo de actualización de seguridad;
- Guía de seguridad para la integración del producto final y directrices para reforzar la configuración.
03 / Cinco áreas principales de capacidad de cumplimiento de la CRA
Área 1: Evaluación de riesgos de ciberseguridad (Evaluación de riesgos cibernéticos)
Sistema estandarizado de evaluación de riesgos de ciberseguridad de productos
- Bases de seguridad del hardware: motor de cifrado seguro de desarrollo propio, arranque de raíz de confianza, y protección física contra manipulaciones, comparado con el esquema de certificación de seguridad de PSA, con la capacidad de emitir informes de evaluación de seguridad calificados;
- Certificación de gestión de seguridad empresarial: toda la R&El proceso D sigue la norma ISO. 27001 sistema de gestión de seguridad de la información, con procesos de control de riesgos integrados en toda la definición, desarrollo, pruebas y producción en masa;
Bajo la CRA, Los productos se clasifican según sus funciones relacionadas con la ciberseguridad o el uso previsto y el nivel de riesgo de ciberseguridad que presentan.. Esta clasificación determina los pasos que un fabricante debe seguir para lograr el cumplimiento..
Bluetooth / Se espera que los módulos WiFi entren en la categoría "predeterminada"; si se considera que constituye una interfaz de red física o casos similares, pueden pertenecer a la "Clase importante I". Las rutas de evaluación de la conformidad correspondientes son las siguientes: Los productos de categoría predeterminada utilizan la autoevaluación. (control interno de producción), bajo el cual emitimos la Declaración de Conformidad de la UE (Declaración de conformidad de la UE) y colocar el marcado CE; Los productos importantes de Clase I requieren la participación de un organismo notificado, con la opción de examen de tipo UE o garantía de calidad total.
Basado en la clasificación anterior., Construiremos de manera proactiva el sistema de evidencia de cumplimiento correspondiente y proporcionaremos productos compatibles a los clientes., Sirviendo como piedra angular de seguridad sobre la cual los clientes construyen sus propias soluciones..
Área 2: Requisitos básicos de cumplimiento general (Requisitos generales)
Garantía de cumplimiento de desarrollo seguro de extremo a extremo
- Seguridad por diseño: Los módulos integran cifrado de hardware., arranque seguro y almacenamiento de claves aislado; El desarrollo de software implementa estándares de codificación segura., auditorías de código, Fuzzing y pruebas de penetración durante todo el proceso.;
- Gestión de vulnerabilidades de ciclo de vida completo: un proceso interno de seguimiento de vulnerabilidades de circuito cerrado que cubra los requisitos, desarrollo, etapas de producción en masa y posventa, con registros de manipulación completos retenidos;
Área 3: Documentos de orientación de seguridad de cara al cliente (Información e Instrucciones a los Usuarios)
Recursos de capacitación y orientación sobre cumplimiento de la CRA para desarrolladores
- Documentación de desarrollo estandarizada: Proporcionamos manuales de desarrollo de seguridad del módulo Bluetooth., especificaciones de configuración de seguridad y guías de implementación de cumplimiento de CRA, disponible para revisión en nuestro centro de documentación en línea;
Área 4: Entrega de documentación técnica de cumplimiento de CRA (Documentación técnica)
Soporte de documentación técnica de CRA entregable
Maximizar la seguridad durante todo el ciclo de vida del producto, La CRA requiere documentación de varios aspectos clave., incluyendo evaluaciones de riesgos, la Declaración de Conformidad de la UE, la lista de materiales del software (SBOM), y una declaración del período de soporte. El período de soporte define el período mínimo durante el cual el proveedor planea mantener el cumplimiento de la CRA..
Feasycom actualmente está revisando nuestros procesos maduros existentes para garantizar el cumplimiento de los requisitos de documentación de la CRA..
Área 5: Sistema de respuesta e informes de seguridad (Requisitos de presentación de informes)
Equipo PSIRT y mecanismo de informes de cumplimiento de la CRA
- Equipo de respuesta a incidentes de seguridad de PSIRT: Hemos establecido un canal de admisión de vulnerabilidades independiente., una política estandarizada y coordinada de divulgación de vulnerabilidades, y procesos de tiempo de respuesta fijo; para más información, por favor visite el Feasycom PSIRT página.
- Vulnerabilidades explotadas activamente: al enterarse de una vulnerabilidad que ha sido explotada activamente, emitir una notificación de alerta temprana al coordinador designado por el CSIRT y a ENISA dentro de 24 horas; emitir una notificación de vulnerabilidad dentro 72 horas que proporcionan la naturaleza de la vulnerabilidad, las circunstancias específicas involucradas, y las medidas tomadas. Presentar un informe final dentro de 14 días después de que se hayan tomado medidas correctivas o mitigadoras.
- Incidentes de seguridad graves que afectan la seguridad del producto: al enterarse de un incidente grave que afecta la seguridad del producto, emitir una notificación de alerta temprana al coordinador designado por el CSIRT y a ENISA dentro de 24 horas; enviar una notificación de incidente dentro de 72 horas proporcionando información resumida sobre la naturaleza del incidente, una evaluación preliminar del incidente, y las medidas tomadas. Emitir un informe final en el plazo de un mes desde la presentación de la notificación de incidencia de 72 horas.
