Endüstriyel otomasyon ve elektronik için CRA

01Tipik ürünler

• PLC'ler ve uzak I/O birimleri
• HMI panelleri ve operatör terminalleri
• Bağlantılı sensörler ve ölçüm cihazları
• Motor sürücüleri ve hareket kontrol birimleri
• Endüstriyel ağ geçitleri, router'lar ve switch'ler

02Olası CRA sınıfı

PLC, HMI, sensör ve sürücülerin çoğu varsayılan sınıfta; temel işlevleri Ek III ya da IV'teki bir kategoriye girmiyor.

İstisnalar var: endüstriyel router ve switch'ler Ek III Sınıf I'de ("router'lar, modemler ve switch'ler"), temel işlevi güvenlik duvarı ya da saldırı tespiti olan cihazlar Sınıf II'de. Ürün bir ağ yönetim sistemi işlevi görüyorsa o da Sınıf I'de sayılıyor.

Güvenlik işlevli bir mikrodenetleyici kullanmak ürünü tek başına Sınıf I yapmaz; sınıfı ürünün temel işlevi belirler. Kendi ürününüz için sınıf testimizi deneyin.

03İlgili diğer mevzuat

• NIS2 (AB) 2022/2555: Enerji, su, ulaşım ve imalat gibi sektörlerdeki temel ve önemli kuruluşlar tedarik zinciri güvenliğini yönetmek zorunda (Madde 21). Bu müşteriler tedarikçilerinden SBOM, zafiyet yönetimi ve güncelleme taahhüdü istiyor.
• Makine Tüzüğü (AB) 2023/1230: 20 Ocak 2027'den itibaren uygulanıyor. Ek III'teki 1.1.9 (bozulmaya karşı koruma) ve 1.2.1 (kontrol sistemlerinin güvenliği ve güvenilirliği) gereksinimleri kötü niyetli müdahaleleri de kapsıyor. Bağlantılı bir makine bileşeni hem bu tüzüğe hem CRA'ya tabi olabilir.
• IEC 62443: Endüstriyel otomasyonda yaygın kullanılan güvenlik standartları ailesi. Müşteri ve denetçiler sık sık bu standarda atıf yapıyor.

04Bu sektöre özgü zorluklar

• Çok uzun ürün ömrü: Sahada 10–20 yıl çalışan cihazlar; destek süresi ve güncelleme planı buna göre kurulmalı.
• Güncelleme pencereleri: Üretim hattındaki bir cihaz istendiği an güncellenemez; güncellemenin güvenli ve doğrulanabilir olması gerekir.
• Müşteri denetimleri: NIS2 kapsamındaki müşteriler kendi denetimleri için tedarikçiden belge ister; aynı kanıtı her müşteri için yeniden hazırlamak zaman alır.
• Karışık yazılım yığını: RTOS, gömülü Linux ve üçüncü taraf protokol yığınları bir arada; bileşen envanteri zor.

05Platform bu sektörde ne yapıyor?

• Firmware imajından ve tedarikçi SBOM'larından bileşen envanteri çıkarır, yeni zafiyetlere karşı sürekli tarar.
• Zafiyetleri CISA KEV ve EPSS ile önceliklendirir; CSAF 2.0 ve OpenVEX çıktısıyla müşterinize makinece okunabilir kanıt verirsiniz.
• Cihazın bildirdiği kurcalama ve bellek bozulması olaylarını toplar; kritik olaylar otomatik olarak bir değerlendirme kaydı açar, bildirime tabi olup olmadığına ekibiniz karar verir.
• Madde 14 sürelerini farkına varma anından itibaren takip eder.
• İmzalı OTA güncellemeleri: A/B bölüm ve sürüm düşürme koruması.
• Teknik dosya taslakları ve imzalı, RFC 3161 zaman damgalı, 10 yıl değiştirilemez kanıt arşivi; müşteri denetimlerinde aynı kanıtı tekrar kullanırsınız.

06Sık sorulanlar