{"product_id":"cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","title":"CRA Open Source Steward 2027 – політика кібербезпеки, процедури з виявлення вразливостей та державний сертифікат | Word\/PDF\/Excel","description":"\u003csection lang=\"sv\" style=\"color:#183A55;line-height:1.7\"\u003e\n\u003cp\u003e\u003cstrong\u003eЧи розвиває ваша фундація, асоціація або організація відкриті проєкти з програмним забезпеченням, які використовуються в комерційних цілях, і чи забезпечує вона їхнє довгострокове управління?\u003c\/strong\u003e У такому разі ваша організація може виконувати роль \u003cstrong\u003eопікуна програмного забезпечення з відкритим кодом\u003c\/strong\u003e відповідно до \u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eРегламенту ЄС про кіберстійкість (EU) 2024\/2847\u003c\/a\u003e. Стаття 24, зокрема, вимагає \u003cstrong\u003eперевіреної задокументованої політики кібербезпеки\u003c\/strong\u003e, яка сприяє безпечній розробці, документуванню та усуненню вразливостей, а також добровільному повідомленню та скоординованому обміну інформацією з спільнотою розробників програмного забезпечення з відкритим кодом.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eВажлива відмінність від звичайних шаблонів CRA:\u003c\/strong\u003e Опікун — це \u003cstrong\u003eюридична особа, інша за виробником\u003c\/strong\u003e, яка систематично та на довгостроковій основі підтримує розробку і відіграє ключову роль у збереженні певних продуктів із відкритим кодом, призначених для комерційної діяльності. Статус розробника, написання коду у вільний час або управління асоціацією не означає автоматичного підпадання під ці вимоги. Організація може бути \u003cstrong\u003eопікуном одного проєкту та виробником іншого\u003c\/strong\u003e. Роль необхідно перевіряти для кожного продукту\/версії.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eДати:\u003c\/strong\u003e Вимоги до виробників щодо звітування за статтею 14 почали діяти \u003cstrong\u003e11 вересня 2026 року\u003c\/strong\u003e. Спеціальні умовні зобов’язання опікунів щодо реєстрації відповідно до \u003cstrong\u003eстатті 24.3 починаються 11 грудня 2027 року\u003c\/strong\u003e. ENISA підтвердила цю відмінність. Тому цей пакет спеціально розроблено для належної підготовки, а не для того, щоб стверджувати, що всі опікуни повинні повідомляти про інциденти вже у 2026 році.\u003c\/p\u003e\n\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e01 · Зміст пакета\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eП’ять операційних робочих шаблонів шведською мовою з окремими завданнями та посиланнями на докази, шведський посібник користувача та окремий English User Guide. Усі сім — у вигляді Word-файлів (DOCX), що можна редагувати, і PDF-файлів, у яких можна шукати. Крім того, шведський реєстр Excel із дев’ятьма вкладками. \u003cstrong\u003eУсього 7 DOCX + 7 PDF + 1 XLSX = 15 клієнтських файлів\u003c\/strong\u003e у ZIP-архіві без макросів.\u003c\/p\u003e\u003c\/section\u003e\n\u003csection style=\"border:2px solid #BBD9E6;border-left:6px solid #246D93;background:#EAF6FB;border-radius:10px;padding:17px 20px;margin:20px 0\"\u003e\u003ch2 style=\"margin:0 0 8px;color:#174F70\"\u003e02 · Що міститься у файлах\u003c\/h2\u003e\n\n\u003cp style=\"margin:0\"\u003eПеревірка ролі (опікун чи виробник), прийняття перевіреної політики безпеки, обробка повідомлень про вразливості та процедури випуску патчів, чітке визначення меж застосування статті 24.3, відповідь на обґрунтований запит органу влади та простежуваний ланцюжок доказів і заходів. \u003cstrong\u003eExcel підраховує адміністративні записи — не сертифікати CE, не схвалення SBOM і не автоматичні повідомлення органів влади.\u003c\/strong\u003e\u003c\/p\u003e\u003c\/section\u003e\n\u003ch2\u003eЯким організаціям продукт справді принесе користь?\u003c\/h2\u003e\n\n\u003cp\u003eЦільова аудиторія — \u003cstrong\u003eфундації програмного забезпечення з відкритим кодом, галузеві асоціації, некомерційні або комерційні юридичні особи\u003c\/strong\u003e, які керують інфраструктурою репозиторіїв\/розробки, надають довгострокову організаційну або технічну допомогу та забезпечують збереження відповідного продукту FOSS. Прикладом може бути фундація, яка керує кількома бібліотеками та підтримує задокументований процес забезпечення безпеки та розкриття інформації.\u003c\/p\u003e\n\n\u003cp\u003e**Цей продукт відрізняється від наших існуючих шаблонів:** \u003ca href=\"\/uk\/products\/cyber-resilience-act-cra-compliance-2026-2027-svenska-english-riskbedomning-sbom-incidentrapportering-word-pdf-excel\"\u003eCRA Compliance для виробників, оцінка ризиків і SBOM\u003c\/a\u003e зосереджується на загальних зобов’язаннях щодо продуктів, а \u003ca href=\"\/uk\/products\/cra-psirt-sarbarhetsrapportering-artikel14\"\u003eCRA PSIRT — 24\/72 год і повідомлення про вразливості\u003c\/a\u003e допомагає виробнику реально реагувати на інциденти. Цей продукт призначений спеціально для \u003cstrong\u003eполітики опікуна відповідно до статті 24, його управлінської ролі та обмежених зобов’язань щодо повідомлень і відповідей органам влади\u003c\/strong\u003e.\u003c\/p\u003e\n\n\u003ch2\u003eЯкі вимоги стаття 24.1 ставить перед опікуном програмного забезпечення з відкритим кодом?\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eСтаття 24.1\u003c\/a\u003e вимагає задокументованої та \u003cstrong\u003eперевіреної політики кібербезпеки\u003c\/strong\u003e, яка сприяє безпечній розробці та ефективному усуненню розробниками вразливостей. Політика повинна зокрема охоплювати виявлення, документування, оцінку, обробку та усунення вразливостей, а також сприяти добровільному повідомленню відповідно до статті 15 і обміну інформацією в спільноті розробників програмного забезпечення з відкритим кодом. Її слід адаптувати до фактичної юридичної та організаційної структури організації. Недостатньо просто написати «ми дотримуємося CRA» — вкажіть відповідальну особу, надійний контакт, процес, номер версії та фактичні докази.\u003c\/p\u003e\n\n\u003ch2\u003eЯк діяти у разі запиту органу влади?\u003c\/h2\u003e\n\n\u003cp\u003eВідповідно до статті 24.2 опікун повинен співпрацювати з органами контролю ринку для зменшення ризиків безпеки. У разі \u003cstrong\u003eобґрунтованого запиту\u003c\/strong\u003e опікун повинен надати задокументовану політику з пункту 1 у паперовому або електронному вигляді мовою, яку орган влади зможе легко зрозуміти. Пакет містить матеріали для перевірки відправника, збору потрібних документів, захисту конфіденційної інформації та збереження справжнього підтвердження відповіді.\u003c\/p\u003e\n\n\u003ch2\u003eПовідомлення відповідно до статті 24.3 — два різні випадки\u003c\/h2\u003e\n\n\u003cp\u003e\u003cstrong\u003eАктивно експлуаована вразливість:\u003c\/strong\u003e Посилання на статтю 14.1 застосовується до опікуна лише в тій мірі, в якій організація фактично бере участь у розробці відповідного цифрового продукту. \u003cstrong\u003eСерйозний інцидент:\u003c\/strong\u003e Посилання на статті 14.3 і 14.8 застосовуються лише у визначених ситуаціях, коли інцидент впливає на мережеві та інформаційні системи, які опікун сам надає для розробки продуктів. Тому не всі можливі помилки, атаки на третіх осіб або внутрішні збої в ІТ-інфраструктурі автоматично стають підмітом повідомлення відповідно до статті 24.3.\u003c\/p\u003e\n\n\u003cp\u003eВідповідальна особа повинна задокументувати час виявлення, точну роль, подію, юридичну оцінку та фактичний канал повідомлення. \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eЄдина платформа повідомлень ENISA (SRP)\u003c\/a\u003e є офіційним каналом для подання відповідних повідомлень. Шаблони не можуть надсилати повідомлення від імені клієнта і не створюють справжніх квитанцій SRP. Заплануйте дотримання встановлених строків і перевірте актуальне правове застосування з ENISA перед поданням повідомлення.\u003c\/p\u003e\n\n\u003ch2\u003eЯкі вимоги не застосовуються до опікуна автоматично?\u003c\/h2\u003e\n\n\u003cp\u003eКатегорія опікунів є окремим, пропорційним регуляторним режимом. Організація \u003cstrong\u003eне повинна лише тому, що вона є опікуном\u003c\/strong\u003e видавати сертифікат відповідності CE від виробника, створювати SBOM виробника або дотримуватися всіх технічних зобов’язань щодо продуктів, зазначених у Додатку I до CRA. \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eНастанови Єврокомісії\u003c\/a\u003e чітко розмежовують зобов’язання опікуна та виробника. Однак окрема роль виробника в іншому проєкті може змінити ситуацію.\u003c\/p\u003e\n\n\u003ch2\u003eПовний перелік файлів\u003c\/h2\u003e\n\n\u003cdiv style=\"overflow-x:auto\"\u003e\u003ctable style=\"width:100%;min-width:640px;border-collapse:collapse\"\u003e\n\n\u003cthead\u003e\u003ctr style=\"background:#DDEEF5\"\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eФайл\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eПризначення\u003c\/th\u003e\n\n\u003cth style=\"padding:9px;text-align:left\"\u003eФормат\u003c\/th\u003e\n\n\n\u003c\/tr\u003e\u003c\/thead\u003e\n\n\u003ctbody\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e01. Перевірка ролі — опікун\/виробник\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eЗадокументувати суб’єкт права, фактичну підтримку проєкту FOSS, позиціювання на ринку, реліз і рішення щодо ролі.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e02. Перевірена політика кібербезпеки\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eСт. 24.1: безпечна розробка, контактна особа з питань безпеки, відповідальність, випуск патчів, добровільне повідомлення та обмін інформацією зі спільнотою.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e03. Прийом повідомлень про вразливості та скоординоване розкриття інформації\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eПрийом, ідентифікатор справи, сортування, безпечний канал зв’язку, патч\/реліз і докази усунення вразливості.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e04. Ст. 24.3 — перевірка необхідності повідомлення\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eРозрізняйте активну експлуатацію, коли опікун бере участь у розробці, та серйозний інцидент у його інфраструктурі розробки.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e05. Запит органу влади та докази\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eПеревірка автентичності запиту, перевірена політика, фактичні посилання на докази та задокументована відповідь органу влади.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e06. Шведський посібник користувача\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eСім практичних кроків із датами та юридичними межами.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e07. English User Guide\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eІнструкція з використання шведських робочих шаблонів англійською мовою; не переклад п’яти шаблонів англійською.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eDOCX + PDF\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\u003ctr\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003e08. Реєстр Excel\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eДев’ять вкладок і вісім адміністративних показників на основі формул.\u003c\/td\u003e\n\n\u003ctd style=\"border:1px solid #BDD9E6;padding:9px\"\u003eXLSX\u003c\/td\u003e\n\n\n\u003c\/tr\u003e\n\n\n\u003c\/tbody\u003e\n\n\n\u003c\/table\u003e\u003c\/div\u003e\n\n\u003ch2\u003eExcel із дев’ятьма вкладками та вісьмома адміністративно протестованими показниками\u003c\/h2\u003e\n\n\u003cp\u003eВкладки називаються \u003cstrong\u003eОгляд, Проєкти та ролі, Політики, Вразливості, Інциденти, Повідомлення, Справи з органами влади, Заходи, а також Джерела та посібник\u003c\/strong\u003e. В огляді підраховуються зареєстровані проєкти, нез’ясовані оцінки ролі, відсутні політики, відкриті вразливості, інциденти, що потребують розслідування, нез’ясовані справи щодо повідомлень, невідповідані запити органів влади та відкриті заходи.\u003c\/p\u003e\n\n\u003cp\u003eУсі вісім значень у \u003cstrong\u003eоригінальному файлі дорівнюють 0\u003c\/strong\u003e. Окремі синтетичні тестові записи дали очікуваний результат \u003cstrong\u003e1\u003c\/strong\u003e для всіх восьми показників. Тестові завдання не входять до клієнтської версії. Автоматична юридична класифікація, зовнішня перевірка, повідомлення або схвалення органу влади не здійснюються.\u003c\/p\u003e\n\n\u003ch2\u003eЯк використовувати документи\u003c\/h2\u003e\n\n\u003col\u003e\n\n\u003cli\u003eПроведіть інвентаризацію кожного проєкту FOSS, видавця, організації підтримки, ліцензійного та комерційного контексту.\u003c\/li\u003e\n\n\u003cli\u003eПеревірте, чи є кожна фактична організація \u003cstrong\u003eопікуном, виробником або чи не підпадає вона під ці вимоги\u003c\/strong\u003e. Збережіть основу та джерело.\u003c\/li\u003e\n\n\u003cli\u003eАдаптуйте, прийміть і версіонуйте політику кібербезпеки з конкретним каналом безпеки та доказом коду\/релізу.\u003c\/li\u003e\n\n\u003cli\u003eВпровадьте приватний прийом повідомлень про вразливості, сортування, випуск патчів, регресійне тестування та безпечне розкриття інформації перед спільнотою.\u003c\/li\u003e\n\n\u003cli\u003eПідготуйтеся до оцінки необхідності повідомлення до \u003cstrong\u003e11 грудня 2027 року\u003c\/strong\u003e. Розрізняйте активну експлуатацію та серйозні інциденти в інфраструктурі розробки опікуна.\u003c\/li\u003e\n\n\u003cli\u003eСтворіть процес для обґрунтованих запитів органів влади та зберіть перевірені, захищені дані з доказовою базою.\u003c\/li\u003e\n\n\u003cli\u003eОновлюйте Excel, відстежуйте виконання заходів і дозволяйте відповідній особі вручну затверджувати кожну справу.\u003c\/li\u003e\n\n\n\u003c\/ol\u003e\n\n\u003ch2\u003eЧасті запитання про CRA та опікунів програмного забезпечення з відкритим кодом\u003c\/h2\u003e\n\n\u003ch3\u003eЧи є некомерційна асоціація автоматично звільненою від вимог CRA?\u003c\/h3\u003e\n\n\u003cp\u003eНі. Вирішальне значення мають юридична роль і діяльність. Юридична особа, яка систематично підтримує відповідні проєкти OSS, може бути опікуном навіть без власного прибутку, але для кожного проєкту потрібна індивідуальна оцінка.\u003c\/p\u003e\n\n\u003ch3\u003eЧи застосовуються до опікунів ті самі вимоги CE, що й до виробників продуктів?\u003c\/h3\u003e\n\n\u003cp\u003eНі. Стаття 24 передбачає окремі зобов’язання. Опікун не повинен автоматично виконувати всі вимоги виробника щодо CE, SBOM і продуктів. Якщо організація також є виробником іншого продукту, там можуть діяти інші вимоги.\u003c\/p\u003e\n\n\u003ch3\u003eКоли опікун зобов’язаний повідомляти ENISA?\u003c\/h3\u003e\n\n\u003cp\u003eСтаття 24.3 починає застосовуватися \u003cstrong\u003e11 грудня 2027 року\u003c\/strong\u003e. Вимоги статті 14 до виробників почали діяти вже \u003cstrong\u003e11 вересня 2026 року\u003c\/strong\u003e. Ці дві групи дат не можна плутати.\u003c\/p\u003e\n\n\u003ch3\u003eЧи потрібно надсилати до ENISA всі помилки безпеки?\u003c\/h3\u003e\n\n\u003cp\u003eНі. Потрібна юридична оцінка, зокрема фактичної активної експлуатації, участі опікуна або особливого серйозного інциденту в інфраструктурі розробки опікуна.\u003c\/p\u003e\n\n\u003ch3\u003eЧи достатньо загальної політики безпеки?\u003c\/h3\u003e\n\n\u003cp\u003eНі, якщо вона не документує фактичні процеси безпеки та усунення вразливостей, які вимагає стаття 24.1, і не може бути підтверджена реальними відповідальними особами, версіями та доказовими матеріалами. Шаблон слід адаптувати до організації.\u003c\/p\u003e\n\n\u003ch3\u003eЧи створює пакет справжній звіт для ENISA?\u003c\/h3\u003e\n\n\u003cp\u003eНі. Документ 04 забезпечує внутрішню юридичну та технічну готовність. Фактичне повідомлення має здійснювати уповноважена особа через належний офіційний канал, а вносити слід лише справжні квитанції.\u003c\/p\u003e\n\n\u003ch3\u003eЩо робити, якщо орган влади вимагає нашу політику?\u003c\/h3\u003e\n\n\u003cp\u003eПеревірте особу органу влади та юридичну підставу запиту. Використовуйте документ 05 для збору прийнятої політики, фактичного ланцюжка доказів, рішення про відповідь і підтвердження відповідно до статті 24.2.\u003c\/p\u003e\n\n\u003ch3\u003eЧи всі п’ять робочих шаблонів доступні англійською мовою?\u003c\/h3\u003e\n\n\u003cp\u003eНі. П’ять робочих шаблонів і реєстр Excel — українською мовою. До комплекту входять український посібник користувача та окремий \u003cstrong\u003eEnglish User Guide\u003c\/strong\u003e, а не повний переклад усіх робочих документів.\u003c\/p\u003e\n\n\u003ch2\u003eЮридичні джерела, прозорість і юридичний контроль\u003c\/h2\u003e\n\n\u003cp\u003e\u003ca href=\"https:\/\/eur-lex.europa.eu\/eli\/reg\/2024\/2847\/oj\/swe\"\u003eРегламент ЄС 2024\/2847 — оригінальний текст, статті 3.14\/24\/71\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-open-source\"\u003eЄврокомісія: CRA та програмне забезпечення з відкритим кодом\u003c\/a\u003e · \u003ca href=\"https:\/\/digital-strategy.ec.europa.eu\/en\/policies\/cra-reporting\"\u003eЄврокомісія: повідомлення відповідно до CRA\u003c\/a\u003e · \u003ca href=\"https:\/\/www.enisa.europa.eu\/topics\/product-security\/vulnerability-services\/eu-incident-response-and-cyber-crisis-management\/single-reporting-platform-srp\/frequently-asked-questions\"\u003eENISA SRP — дати та повідомлення\u003c\/a\u003e · \u003ca href=\"https:\/\/policy.openssf.org\/CRA\/stewards-playbook.html\"\u003eLinux Foundation\/OpenSSF — практична робота опікуна (не зобов’язувальна)\u003c\/a\u003e.\u003c\/p\u003e\n\n\u003cp\u003e\u003cstrong\u003eВерсія 1.0, юридична перевірка джерел за допомогою ШІ від 11 листопада 2026 року.\u003c\/strong\u003e Зовнішня юридична перевірка, фактична класифікація організації, тестування на проникнення, аудит кібербезпеки, сертифікат CE або справжнє повідомлення органу влади не проводилися. Перегляньте джерела за новими настановами та юридичними змінами. ZIP-архів буде надано лише після можливої публікації чернетки та окремого підключення файлів Shopify Digital Products.\u003c\/p\u003e\n\n\u003c\/section\u003e","brand":"Svenska Dokumentmallar","offers":[{"title":"Default Title","offer_id":56581000626518,"sku":"CRA-OSS-STEWARD-2027-V1","price":79.0,"currency_code":"SEK","in_stock":true}],"thumbnail_url":"\/\/cdn.shopify.com\/s\/files\/1\/0827\/2373\/3846\/files\/01_CRA_OSS_Steward_Huvudbild_1600.png?v=1794396447","url":"https:\/\/mallbutiken.se\/uk\/products\/cra-open-source-steward-2027-cybersakerhetspolicy-artikel-24","provider":"Mallbutiken","version":"1.0","type":"link"}