Κατευθυντήριες γραμμές της Ευρωπαϊκής Επιτροπής για τον CRA

01Τι είναι αυτό

Art. 26 απαιτεί από την Επιτροπή να δημοσιεύσει κατευθυντήριες γραμμές για να βοηθήσει τους οικονομικούς φορείς να εφαρμόσουν την CRA, με ιδιαίτερη έμφαση στη διευκόλυνση της συμμόρφωσης για τις μικρές και μεσαίες επιχειρήσεις. Στις 27 Ιουλίου 2026 η Επιτροπή ενέκρινε το περιεχόμενο αυτών των κατευθυντήριων γραμμών (έγγραφο αναφοράς C(2026) 5252). Εκτείνεται σε περίπου 80 σελίδες και εξετάζει τις ερωτήσεις που θέτουν συχνότερα οι κατασκευαστές.

Οι κατευθυντήριες γραμμές είναι μη δεσμευτικές και δεν μεταβάλλει τον νόμο: μια αυθεντική ερμηνεία της CRA μπορεί να προέλθει μόνο από το Δικαστήριο της Ευρωπαϊκής Ένωσης. Ωστόσο, οι αρχές εποπτείας της αγοράς και οι κοινοποιημένοι οργανισμοί τη λαμβάνουν υπόψη για μια συνεπή, εναρμονισμένη ερμηνεία, γι' αυτό αποτελεί τον φυσικό σύντροφο του Κανονισμού.

02Τι θεωρείται προϊόν

Το μεγαλύτερο μέρος των κατευθυντήριων γραμμών αφορά πεδίο εφαρμογής, η περιοχή με τις περισσότερες ερωτήσεις. Ένα προϊόν με ψηφιακά στοιχεία είναι ένα προϊόν λογισμικού ή υλισμικού (και η σχετική λύση απομακρυσμένης επεξεργασίας δεδομένων) του οποίου η χρήση περιλαμβάνει άμεση ή έμμεση σύνδεση δεδομένων. Art. 3(1)

• Το πού εκτελείται το λογισμικό το καθορίζει; λογισμικό που εκτελείται στη συσκευή του χρήστη (μια μεταφορτωμένη εφαρμογή, μια επέκταση προγράμματος περιήγησης, ένα τοπικά εγκατεστημένο πρόγραμμα-πελάτης) αποτελεί προϊόν με ψηφιακά στοιχεία. Λογισμικό στο οποίο απλώς γίνεται απομακρυσμένη πρόσβαση μέσω προγράμματος περιήγησης δεν αποτελεί, από μόνο του, τέτοιο προϊόν.
• Εφαρμογές ιστού και ιστότοποι; μια εφαρμογή ιστού που χρησιμοποιείται μόνο μέσω προγράμματος περιήγησης, καθώς και ένας ιστότοπος που απλώς παρουσιάζει πληροφορίες, γενικά δεν αποτελούν προϊόντα με ψηφιακά στοιχεία. Εμπίπτουν στο πεδίο εφαρμογής μόνο όταν πληρούν τις προϋποθέσεις απομακρυσμένης επεξεργασίας δεδομένων που υποστηρίζει τη λειτουργία ενός προϊόντος.
• Πηγαίος κώδικας; ο ορισμός του λογισμικού στην CRA καλύπτει τόσο τον εκτελέσιμο όσο και τον πηγαίο κώδικα, ωστόσο η απλή κοινοποίηση κώδικα ανοικτού κώδικα σε δημόσιο αποθετήριο γενικά δεν συνιστά "διάθεση στην αγορά". Art. 3(4)

Αν δεν είστε βέβαιοι πού κατατάσσεται το προϊόν σας, το Γρήγορος Έλεγχος και το επεξήγηση σε απλή γλώσσα παρουσιάζουν αναλυτικά το πεδίο εφαρμογής στην πράξη.

03Λογισμικό ανοιχτού κώδικα

Οι κατευθυντήριες γραμμές παρουσιάζουν λεπτομερώς το προσαρμοσμένο, ελαφρύτερο καθεστώς για τον ανοικτό κώδικα. Το μη εμπορικό λογισμικό ανοικτού κώδικα που αναπτύσσεται εκτός εμπορικής δραστηριότητας εκφεύγει σε μεγάλο βαθμό του πεδίου εφαρμογής· το κριτήριο ενεργοποίησης είναι εμπορική δραστηριότητα και το αν το λογισμικό διατίθεται στην αγορά.

• Πότε το FOSS "διατίθεται στην αγορά"; οι κατευθυντήριες γραμμές εξετάζουν τη χρέωση τιμής, τη χρηματοδότηση μέσω σχετικών υπηρεσιών ή απαίτησης προσωπικών δεδομένων, την επί πληρωμή υποστήριξη, τις δωρεές, τις χρηματοδοτικές ρυθμίσεις και τις μη κερδοσκοπικές δομές, καθώς και την ενσωμάτωση FOSS από άλλους κατασκευαστές.
• Θεματοφύλακες λογισμικού ανοικτού κώδικα; ένα σαφώς καθορισμένο, αναλογικό σύνολο υποχρεώσεων εστιασμένο στην υποστήριξη της ασφάλειας και της συνεχιζόμενης βιωσιμότητας του λογισμικού.
• Σημαντικό FOSS; σημαντικά προϊόντα (κατηγορίας I ή II) που διατίθενται στην αγορά ως ελεύθερο λογισμικό ανοικτού κώδικα μπορούν να ακολουθήσουν τις ελαφρύτερες διαδικασίες συμμόρφωσης της προεπιλεγμένης κατηγορίας. Art. 32(5)

04Ουσιώδεις τροποποιήσεις

Το αν μια αλλαγή είναι ουσιώδης τροποποίηση καθορίζει αν απαιτείται νέα αξιολόγηση συμμόρφωσης. Η αιτιολογική σκέψη 39 το πλαισιώνει ως εξής: ένα προϊόν θεωρείται ουσιωδώς τροποποιημένο όταν μια αλλαγή μεταβάλλει το επίπεδο κινδύνου κυβερνοασφάλειάς του με τρόπο που ο κατασκευαστής δεν είχε ήδη λάβει υπόψη στην εκτίμηση κινδύνου του. Art. 3(30)

• Οι ενημερώσεις ασφαλείας γενικά δεν αποτελούν ουσιώδεις τροποποιήσεις; σκοπός τους είναι η μείωση του κινδύνου, οπότε μια διόρθωση ασφαλείας που δεν μεταβάλλει τον προβλεπόμενο σκοπό του προϊόντος ούτε εισάγει νέους κινδύνους δεν αρκεί από μόνη της.
• Έχει να κάνει με τον κίνδυνο, όχι με το μέγεθος; το κριτήριο είναι ο αντίκτυπος της αλλαγής στο προφίλ κινδύνου κυβερνοασφάλειας (νέοι φορείς απειλών, νέα σενάρια επίθεσης ή μεταβολή της πιθανότητας ή του αντικτύπου), όχι η έκταση της αλλαγής.
• Η συνέπεια; ένα ουσιωδώς τροποποιημένο προϊόν θεωρείται ότι διατίθεται εκ νέου στην αγορά. Όταν την αλλαγή πραγματοποιεί κάποιος άλλος πλην του αρχικού κατασκευαστή, αυτός αναλαμβάνει τις υποχρεώσεις κατασκευαστή για το τροποποιημένο τμήμα. Art. 21 · 22

Το Οδηγός σήμανσης CE καλύπτει την αξιολόγηση συμμόρφωσης που ενεργοποιεί μια νέα διάθεση στην αγορά.

05Περίοδος υποστήριξης

Η περίοδος υποστήριξης είναι το χρονικό διάστημα κατά το οποίο πρέπει να αντιμετωπίζονται οι ευπάθειες. Θα πρέπει να αντικατοπτρίζει για πόσο καιρό το προϊόν ευλόγως αναμένεται να παραμείνει σε χρήση. Άρθ. 13(8)

• Τα πέντε έτη αποτελούν προεπιλογή, όχι κατώτατο όριο; η περίοδος μπορεί να είναι μικρότερη όταν το προϊόν αναμένεται να χρησιμοποιείται για λιγότερο από πέντε έτη, και τα προϊόντα που ευλόγως αναμένεται να παραμείνουν σε χρήση για μεγαλύτερο διάστημα θα πρέπει να έχουν μεγαλύτερες περιόδους υποστήριξης.
• Ενημερώστε τους χρήστες; αναφέρετε την ημερομηνία λήξης (τουλάχιστον τον μήνα και το έτος) κατά τη στιγμή της αγοράς, και ενημερώνετε τους χρήστες όταν αυτή λήγει, όπου αυτό είναι τεχνικά εφικτό. Art. 13(19)
• Ευελιξία για το λογισμικό; οι κατασκευαστές μπορούν, υπό προϋποθέσεις, να αποκαθιστούν ευπάθειες μόνο στην τελευταία έκδοση, εφόσον οι χρήστες μπορούν να αναβαθμίσουν δωρεάν και χωρίς επιπλέον κόστος. Art. 13(10)
• Μετά από ουσιώδη τροποποίηση; επανεκτιμήστε την περίοδο με βάση τα ίδια κριτήρια· δεν επαναφέρεται ούτε παρατείνεται αυτόματα.

Σχεδιάστε τη δική σας με το προγραμματιστής περιόδου υποστήριξης & λήξης κύκλου ζωής.

06Σημαντικά και κρίσιμα προϊόντα

Η κατάταξη καθορίζει τη διαδικασία συμμόρφωσης. Ένα προϊόν είναι σημαντικό if its βασική λειτουργικότητα αντιστοιχεί σε κατηγορία του Παραρτήματος III (κατηγορίας I ή II), και κρίσιμο αν αντιστοιχεί στο Παράρτημα IV· όλα τα υπόλοιπα είναι προεπιλεγμένα προϊόντα που μπορούν να προβούν σε αυτοαξιολόγηση. Art. 7 · 8 · 32

• Η βασική λειτουργικότητα είναι το κριτήριο; τα κύρια χαρακτηριστικά του προϊόντος, χωρίς τα οποία δεν θα εκπλήρωνε τον προβλεπόμενο σκοπό του. Οι δευτερεύουσες λειτουργίες δεν μεταβάλλουν την κατηγορία, και η απλή ενσωμάτωση ενός σημαντικού ή κρίσιμου στοιχείου δεν καθιστά ολόκληρο το προϊόν σημαντικό ή κρίσιμο: ένα smartphone που ενσωματώνει λειτουργικό σύστημα δεν αποτελεί το ίδιο "λειτουργικό σύστημα".
• Μία βασική λειτουργικότητα; για τον σκοπό της επιλογής της διαδικασίας συμμόρφωσης, ένα προϊόν θεωρείται ότι έχει μία ενιαία βασική λειτουργικότητα, όπως προσδιορίζεται στην τεχνική τεκμηρίωσή του.
• Οι ορισμοί των κατηγοριών; οι τεχνικές περιγραφές των κατηγοριών σημαντικών και κρίσιμων προϊόντων ορίζονται στον Εκτελεστικό Κανονισμό (ΕΕ) 2025/2392.

Αντιστοιχίστε το προϊόν σας με τις κατηγορίες χρησιμοποιώντας το εργαλείο εντοπισμού κατηγορίας προϊόντος.

07Απομακρυσμένη επεξεργασία δεδομένων

Οι λύσεις απομακρυσμένης επεξεργασίας δεδομένων αποτελούν μέρος ενός προϊόντος με ψηφιακά στοιχεία μόνο όταν είναι απαραίτητη για να επιτελέσει το προϊόν τις λειτουργίες του. Άρθ. 3(2) Οι κατευθυντήριες γραμμές προσφέρουν ένα πρακτικό κριτήριο: αν η επεξεργασία γίνεται "εξ αποστάσεως"· αν η απουσία της θα εμπόδιζε το προϊόν να επιτελέσει μία από τις λειτουργίες του· και αν το λογισμικό σχεδιάστηκε και αναπτύχθηκε από, ή υπό την ευθύνη, του κατασκευαστή.

Απεικονίζει το κριτήριο μέσω επεξεργασμένων περιπτώσεων χρήσης (μιας εφαρμογής κινητής τραπεζικής, ενός έξυπνου θερμοστάτη, ενός e-reader, ενός βιομηχανικού ρομπότ και ενός δικτύου κινητής τηλεφωνίας) που δείχνουν πού βρίσκεται το όριο μεταξύ ενός προϊόντος και μιας απλής υπηρεσίας.

08Αναφορές και ευπάθειες

Οι κατευθυντήριες γραμμές διευκρινίζουν επίσης τις συνεχείς υποχρεώσεις: το Article 14 reporting ενεργά εκμεταλλευόμενων ευπαθειών και σοβαρών συμβάντων, και το Παράρτημα I vulnerability-handling απαιτήσεις: αναφορά προς τα ανάντη και κοινοποίηση διορθώσεων ασφαλείας, αντιμετώπιση γνωστών εκμεταλλεύσιμων ευπαθειών, και διεξαγωγή αποτελεσματικών, τακτικών δοκιμών και ελέγχων ασφαλείας. Art. 14 · Annex I

09Άλλες επίσημες πηγές

Οι κατευθυντήριες γραμμές συνοδεύονται από δύο ακόμη επίσημα σημεία αναφοράς που αξίζει να διαβαστούν μαζί.

Εναρμονισμένα πρότυπα. Οι βασικές απαιτήσεις στο Παράρτημα I διατυπώνονται με όρους αποτελέσματος· όταν ένα σχετικό εναρμονισμένο πρότυπο αναφέρεται στην Επίσημη Εφημερίδα, η τήρησή του παρέχει τεκμήριο συμμόρφωσης. Το αίτημα τυποποίησης της Επιτροπής M/606 έγινε αποδεκτό από τα CEN, CENELEC και ETSI το 2025 και καλύπτει περίπου 41 πρότυπα. Τα δύο βασικά οριζόντια πρότυπα (ασφαλής ανάπτυξη και διαχείριση ευπαθειών) αναμένονται έως τις 30 Αυγούστου 2026, τα κάθετα πρότυπα προϊόντων έως τις 30 Οκτωβρίου 2026, και τα υπόλοιπα οριζόντια πρότυπα έως τις 30 Οκτωβρίου 2027, περίπου έναν χρόνο πριν από την πλήρη εφαρμογή.