Отговорността за сигурността вече не приключва с продажбата на продукта

Европейският Cyber Resilience Act (CRA) навлиза в решаваща фаза. От 11 септември 2026 г. започват да се прилагат изискванията за докладване на активно експлоатирани уязвимости и сериозни инциденти, докато основните изисквания към продуктите с цифрови елементи стават задължителни от 11 декември 2027 г.

За производителите това означава фундаментална промяна: киберсигурността вече не е характеристика, която трябва да бъде добавена преди пускането на продукта. Тя се превръща в задължение за целия жизнен цикъл на продукта.

За MSP и MSSP компаниите последиците са директни. Те не разработват непременно продуктите, които управляват, но избират, внедряват, поддържат и защитават технологиите, от които зависят техните клиенти.

CRA превръща уязвимостта в процес

Една от най-съществените промени е начинът, по който се очаква производителите да управляват уязвимостите.

При открит проблем вече не е достатъчно да бъде публикуван CVE номер и да се изчака следващият пач. Производителят трябва да може да установи каква е причината, кои версии са засегнати, какъв е рискът, дали уязвимостта се експлоатира и как ще бъде отстранена.

След това идват още критични въпроси – как ще бъде разпространена корекцията, как ще бъдат информирани партньорите и клиентите и как ще бъде проследено дали рискът действително е намален.

Това означава, че за MSP изборът на доставчик вече не трябва да се основава само на функционалност, цена и технически характеристики.

Производителят трябва да бъде оценяван и по способността му да управлява сигурността след продажбата.

Пет години поддръжка променят сметката

CRA въвежда и важен принцип за продължителността на сигурностната поддръжка – като общо правило минимум пет години, освен ако очакваният жизнен цикъл на продукта е по-кратък.

Това променя начина, по който MSP трябва да планират технологичния цикъл на клиентите.

Продукт, който вече не получава актуализации за сигурност, не е просто остарял. Той може да се превърне в структурен източник на риск, независимо дали към конкретния момент няма публично известна критична уязвимост.

Затова договорите и технологичните планове трябва да включват не само срокове за внедряване, но и край на поддръжката, политика за актуализации, процес за реакция при уязвимости и отговорности между производителя, MSP и клиента.

MSP не може да бъде само препродавач

Тук CRA поставя една неудобна задача пред сектора.

MSP, който просто препродава технология и я оставя да работи до следващия проблем, все по-трудно може да защити стойността си пред клиента.

Новият модел изисква постоянен контрол върху технологичния риск – кои продукти се използват, кои версии са внедрени, кога изтича поддръжката, кои уязвимости ги засягат и как се променя експозицията на клиента.

Това е особено важно при критични системи, интернет-изложени услуги, защитни устройства, отдалечен достъп и инфраструктура, която е свързана с други системи.

Един компрометиран продукт може да превърне добре защитена корпоративна среда в входна точка за нападателя.

От „има пач“ към „управляваме риска“

CRA съвпада с по-широка тенденция в европейската киберсигурност.

NIS2 поставя по-високи изисквания към управлението на риска, DORA засилва устойчивостта във финансовия сектор, а CRA насочва вниманието към самите продукти и техния жизнен цикъл.

Така постепенно се оформя нова реалност: сигурността вече не може да бъде доказвана само с декларация, сертификат или маркетингово твърдение.

Организацията трябва да може да покаже как управлява риска.

За MSP това означава да може да отговори на клиента на конкретни въпроси:

• Какви уязвимости има в използваните продукти?
• Как се разбира за нов критичен проблем?
• Колко бързо производителят предоставя корекция?
• Как се разпространяват актуализациите?
• Кога приключва сигурностната поддръжка?
• Какво се прави, ако пачът не може да бъде приложен незабавно?
• Как се доказва, че рискът действително е намален?

Това вече е оперативна киберсигурност, а не регулаторна отметка.

Истинският тест за доставчиците започва сега

Най-важното послание на CRA към MSP и MSSP бизнеса не е „трябва да спазвате още една европейска регулация“.

Посланието е по-сериозно:

Технологиите, които продавате и управлявате, вече са част от доказуемия риск на вашия клиент.

Затова изборът на доставчик трябва да включва не само цена и функционалност, а неговата способност да осигурява сигурност през целия жизнен цикъл – от разработката и тестовете до откриването на уязвимост, реакцията, пачването и края на поддръжката.

За MSP компаниите това е и възможност.

Тези, които изградят процеси за управление на уязвимости, lifecycle management, контрол на експозицията и документиране на реакциите, няма просто да „помагат на клиентите да спазват CRA“.

Те ще продават измерима киберустойчивост.

А това е много по-ценна услуга от поредния договор за поддръжка.