Cyber Resilience Act (CRA), který vstoupil v platnost v prosinci 2024, přináší povinné požadavky na bezpečnost produktů s digitálními prvky pro všechny výrobce a dodavatele usilující o přístup na evropský trh. Přestože přechodné lhůty dávají firmám čas na adaptaci, pro malé a mikropodniky jde o regulatorní výzvu, pro kterou nemají dostatečné zdroje, zkušenosti ani metodické zázemí. ENISA na tento problém reaguje praktickými nástroji v rámci evropské strategie kybernetické bezpečnosti SME.

Výsledkem je SME Cyber Resilience Maturity Assessment Model, strukturovaný nástroj pro sebehodnocení a postupné zlepšování kybernetické odolnosti s ohledem na požadavky CRA. Model není určen jen výrobcům produktů s digitálními prvky (kteří jsou přímo povinni CRA splňovat), ale i integrátorům a poskytovatelům služeb, kteří jsou do produktového životního cyklu zapojeni nepřímo.

Model je postaven na pěti oblastech: řízení a dokumentace, řízení rizik a bezpečnost již od návrhu (security by design/by default), správa zranitelností a záplat, řízení produktového životního cyklu a povědomí, kompetence a dovednosti. V každé oblasti je definováno pět kritérií zralosti, která odrážejí očekávané postupy podle CRA a moderních přístupů k produktové bezpečnosti. Výsledkem hodnocení je přiřazení jednoho ze tří profilů zralosti: základní, střední nebo pokročilý.

Zásadním praktickým výstupem je ke stažení volně dostupný Excel nástroj, který provází uživatele hodnocením krok za krokem, automaticky počítá skóre a umožňuje firmě sledovat pokrok při opakovaných sebehodnoceních v čase. ENISA zároveň upozorňuje, že dosažení pokročilé úrovně zralosti nenahrazuje zákonné povinnosti ani nepředstavuje důkaz shody s CRA – je to průběžný ukazatel toho, jak systematicky firma produktová rizika řídí.