01Τι είναι ο CRA
Η Πράξη για την Κυβερνοανθεκτικότητα (Κανονισμός (ΕΕ) 2024/2847) είναι ο πρώτος νόμος σε επίπεδο ΕΕ που θεσπίζει υποχρεωτικές απαιτήσεις κυβερνοασφάλειας για προϊόντα με ψηφιακά στοιχεία· υλικό και λογισμικό· καθ' όλη τη διάρκεια του κύκλου ζωής τους. Μεταφέρει την ευθύνη για την ασφάλεια στους οργανισμούς που διαθέτουν τα προϊόντα αυτά στην αγορά, αντί να την αφήνει στους χρήστες. Άρθ. 1
Στην πράξη, ένα προϊόν μπορεί να διατίθεται στην αγορά της ΕΕ μόνον εάν πληροί τις βασικές απαιτήσεις που ορίζονται στο Παράρτημα I και ο κατασκευαστής έχει εκπληρώσει τις υποχρεώσεις που συνδέονται με αυτό. Η συμμόρφωση αποδεικνύεται μέσω αξιολόγησης συμμόρφωσης, Δήλωσης συμμόρφωσης ΕΕ και Σήμανση CE. Μπορείτε να διαβάσετε το δεσμευτικό κείμενο στο πλήρες κείμενο του κανονισμού.
Εάν το προϊόν σας διαθέτει ψηφιακά στοιχεία και φθάνει στην αγορά της ΕΕ, πρέπει να σχεδιάζεται, να κατασκευάζεται και να συντηρείται σύμφωνα με ένα καθορισμένο πρότυπο κυβερνοασφάλειας· και πρέπει να είστε σε θέση να το αποδείξετε.
Δεν είστε βέβαιοι εάν κάτι από αυτά σας αφορά; Ο δίλεπτος Γρήγορος Έλεγχος CRA καθορίζει το πεδίο εφαρμογής και την πιθανή κατηγορία πριν συνεχίσετε την ανάγνωση.
02Σε ποιους εφαρμόζεται
Ο Κανονισμός καλύπτει προϊόντα με ψηφιακά στοιχεία των οποίων η προβλεπόμενη ή ευλόγως προβλεπτή χρήση περιλαμβάνει άμεση ή έμμεση σύνδεση δεδομένων. Αυτός ο ορισμός είναι εκ προθέσεως ευρύς: συνδεδεμένες καταναλωτικές συσκευές, επαγγελματικό υλικό, εφαρμογές για κινητά και επιτραπέζιους υπολογιστές, λειτουργικά συστήματα, βιβλιοθήκες και εξαρτήματα εμπίπτουν σε αυτόν εκτός εάν ισχύει συγκεκριμένη εξαίρεση. Οι υποχρεώσεις κατανέμονται σε όλη την αλυσίδα εφοδιασμού: Άρθ. 13–28
- Κατασκευαστές· φέρουν τις κύριες υποχρεώσεις: ασφαλής σχεδιασμός, τεχνική τεκμηρίωση, αξιολόγηση συμμόρφωσης και διαχείριση ευπαθειών. Το οδηγός κατασκευαστή και το οδηγός προγραμματιστή λογισμικού παρουσιάζουν πλήρως τη διαδρομή.
- Εισαγωγείς· μπορούν να διαθέτουν στην αγορά μόνο συμμορφούμενα προϊόντα και οφείλουν να επαληθεύουν ότι οι υποχρεώσεις του κατασκευαστή έχουν εκπληρωθεί πριν από τη διάθεση.
- Διανομείς· οφείλουν να ενεργούν με δέουσα επιμέλεια και να ελέγχουν ότι η Σήμανση CE και η τεκμηρίωση υπάρχουν. Το οδηγός εισαγωγέα και διανομέα καλύπτει αυτές τις υποχρεώσεις.
Ο CRA εφαρμόζεται ανεξαρτήτως της χώρας εγκατάστασης του κατασκευαστή· μια εταιρεία εκτός ΕΕ που πωλεί στην Ένωση εμπίπτει στο πεδίο εφαρμογής και οφείλει να διασφαλίσει ότι ένας οικονομικός φορέας εντός της ΕΕ είναι υπεύθυνος για τις σχετικές υποχρεώσεις. Λύσεις απομακρυσμένης επεξεργασίας δεδομένων που είναι αναγκαία για την εκτέλεση των λειτουργιών ενός προϊόντος θεωρούνται τμήμα του προϊόντος αυτού και καλύπτονται επίσης. Άρθ. 2 · 3(2)
Τα προϊόντα που καλύπτονται ήδη από κανόνες ειδικούς για τον τομέα τους, όπως ιατρικές συσκευές, μηχανοκίνητα οχήματα και πολιτική αεροπορία, εξαιρούνται. Το μη εμπορικό λογισμικό ανοικτού κώδικα που αναπτύχθηκε εκτός εμπορικής δραστηριότητας βρίσκεται σε μεγάλο βαθμό εκτός πεδίου εφαρμογής, και οι διαχειριστές ανοικτού κώδικα έχουν ένα ελαφρύτερο, εξειδικευμένο σύνολο υποχρεώσεων.
03Κατηγορίες προϊόντων
Η απαιτούμενη διαδρομή συμμόρφωσης εξαρτάται από την κρισιμότητα του προϊόντος. Τα περισσότερα προϊόντα αυτοαξιολογούνται· οι κατηγορίες υψηλότερου κινδύνου που απαριθμούνται στα παραρτήματα υπόκεινται σε αυστηρότερες διαδικασίες. Η ταξινόμηση ακολουθεί την βασική λειτουργικότητα, όχι κάθε λειτουργία που τυχαία περιλαμβάνει. Άρθ. 6–7 · Παράρτημα III–IV
| Κατηγορία | Παραδείγματα | Διαδρομή συμμόρφωσης |
|---|---|---|
| Προεπιλεγμένο | Η πλειονότητα των προϊόντων με ψηφιακά στοιχεία | Αυτοαξιολόγηση |
| Σημαντικό· I | Διαχειριστές κωδικών πρόσβασης, διαχείριση δικτύου, VPN | Πρότυπα ή τρίτο μέρος |
| Σημαντικό· II | Λειτουργικά συστήματα, τείχη προστασίας, μικροεπεξεργαστές | Αξιολόγηση από τρίτο μέρος |
| Κρίσιμο | Έξυπνοι μετρητές, έξυπνες κάρτες, ασφαλή στοιχεία | Υποχρεωτική πιστοποίηση |
Όπου μπορεί να εφαρμοστεί περισσότερο από μία κατηγορία, ισχύει η αυστηρότερη κατηγορία. Για να αντιπαραβάλετε το προϊόν σας με τις κατηγορίες του Παραρτήματος III και IV, χρησιμοποιήστε το εργαλείο εντοπισμού κατηγορίας προϊόντος.
04Βασικές υποχρεώσεις
Οι βασικές απαιτήσεις του Παραρτήματος I χωρίζονται σε δύο ομάδες· ιδιότητες που πρέπει να έχει το προϊόν, και διαδικασίες που πρέπει να εκτελεί ο κατασκευαστής. Το μήτρα συμμόρφωσης παρακολουθεί καθεμία από αυτές με την παραπομπή στο σχετικό άρθρο. Παράρτημα I
- Ασφαλές εκ σχεδιασμού & εξ ορισμού· παραδίδεται με ασφαλή διαμόρφωση και ελαχιστοποιημένη επιφάνεια επίθεσης.
- Καμία γνωστή αξιοποιήσιμη ευπάθεια· διατίθεται απαλλαγμένο από γνωστά αξιοποιήσιμα ελαττώματα.
- Χειρισμός ευπαθειών· μια διαδικασία εντοπισμού, τεκμηρίωσης, αποκατάστασης και γνωστοποίησης ζητημάτων.
- Ενημερώσεις ασφάλειας· δωρεάν, έγκαιρες ενημερώσεις καθ' όλη τη διάρκεια της καθορισμένης περίοδος υποστήριξης· αναμένεται γενικά να είναι τουλάχιστον πέντε έτη, εκτός εάν η αναμενόμενη χρήση του προϊόντος είναι μικρότερη.
- Κατάλογος υλικών λογισμικού· τηρείτε SBOM που καλύπτει τα εξαρτήματα του προϊόντος σε κοινώς χρησιμοποιούμενη, αναγνώσιμη από μηχανές μορφή.
- Αναφορά· κοινοποιούν στην ENISA και στο αρμόδιο CSIRT τις ενεργά εκμεταλλευόμενες ευπάθειες και τα σοβαρά συμβάντα, με έγκαιρη προειδοποίηση εντός 24 ωρών (βλ. κατωτέρω).
05Συμμόρφωση και Σήμανση CE
Η απόδειξη συμμόρφωσης ακολουθεί μια σταθερή ακολουθία, και η διαδρομή μέσα από αυτή καθορίζεται από την κατηγορία του προϊόντος. Άρθ. 28 · 32 · Παράρτημα V · VII
- Συντάξτε την τεχνική τεκμηρίωση· ο φάκελος αποδεικτικών στοιχείων που περιγράφεται στο Παράρτημα VII, τηρούμενος για δέκα έτη μετά τη διάθεση του προϊόντος στην αγορά.
- Διενεργήστε την αξιολόγηση της συμμόρφωσης· τα προεπιλεγμένα προϊόντα μπορούν να αυτοαξιολογηθούν (Ενότητα Α)· τα σημαντικά προϊόντα χρησιμοποιούν εναρμονισμένα πρότυπα ή κοινοποιημένο οργανισμό· τα κρίσιμα προϊόντα απαιτούν πιστοποίηση.
- Συντάξτε τη δήλωση συμμόρφωσης ΕΕ· υπογεγραμμένη δήλωση κατά το Παράρτημα V. Το γεννήτρια δήλωσης συμμόρφωσης δημιουργεί μία για εσάς.
- Τοποθετήστε τη σήμανση CE· το ορατό σημείο ότι τα ανωτέρω έχουν ολοκληρωθεί.
Το βήμα προς βήμα Οδηγός Σήμανσης CE παρουσιάζει αναλυτικά κάθε διαδρομή, και το κόστους παρέχει ενδεικτικό αριθμό για την επίτευξη συμμόρφωσης για την κατηγορία σας.
06Υποχρεώσεις αναφοράς
Από 11 Σεπτεμβρίου 2026, οι κατασκευαστές οφείλουν να αναφέρουν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα που επηρεάζουν την ασφάλεια των προϊόντων τους στην ENISA και στο αρμόδιο εθνικό CSIRT, μέσω της ενιαίας πλατφόρμας αναφοράς που ιδρύεται βάσει του Άρθρου 16. Αυτή είναι η πρώτη σε χρόνο κύρια υποχρέωση του CRA που ενεργοποιείται. Άρθ. 14 · 16
- 24 ώρεςΈγκαιρη προειδοποίηση, από τη στιγμή που λαμβάνετε γνώση ενεργά εκμεταλλευόμενης ευπάθειας ή σοβαρού συμβάντος.
- 72 ώρεςΠληρέστερη κοινοποίηση, που περιλαμβάνει τα διορθωτικά ή μετριαστικά μέτρα που ελήφθησαν.
- 14 ημέρεςΤελική έκθεση μόλις αποκατασταθεί η ευπάθεια, ή για ένα συμβάν, μόλις αντιμετωπιστεί.
Η τήρηση αυτών των προθεσμιών στην πράξη σημαίνει ότι γνωρίζετε τα εξαρτήματά σας και τα παρακολουθείτε συνεχώς. Το SBOM και αναλυτής ευπαθειών παρακολουθεί τον κατάλογο υλικών σας έναντι των NVD και της βάσης δεδομένων ευπαθειών ΕΕ ώστε να μπορείτε να ενεργήσετε εντός της προθεσμίας 24 ωρών. Για πλήρη ανάλυση του τι θεωρείται αναφερτέο και ποιος παραλαμβάνει κάθε αναφορά, βλ. οδηγός αναφοράς συμβάντων και ευπαθειών.
07Χρονοδιάγραμμα & κυρώσεις
Η Πράξη βρίσκεται ήδη σε ισχύ· οι υποχρεώσεις της εφαρμόζονται σταδιακά κατά τα επόμενα έτη. Άρθ. 71
- Δεκ 2024Έναρξη ισχύος (10 Δεκεμβρίου 2024).
- Ιουν 2026Το Κεφάλαιο IV εφαρμόζεται (11 Ιουνίου 2026): οι οργανισμοί αξιολόγησης συμμόρφωσης μπορούν να κοινοποιούνται πριν από την πλήρη εφαρμογή.
- Σεπ 2026Ισχύουν οι υποχρεώσεις αναφοράς (11 Σεπτεμβρίου 2026).
- 2026Οι βασικές ημερομηνίες εναρμονισμένων προτύπων και ταξινόμησης προϊόντων λήγουν (30 Αυγούστου / 30 Οκτωβρίου 2026).
- Δεκ 2027Πλήρης εφαρμογή· ισχύουν οι περισσότερες διατάξεις (11 Δεκεμβρίου 2027).
Η μη συμμόρφωση με τις βασικές απαιτήσεις ή τις υποχρεώσεις του κατασκευαστή μπορεί να επισύρει πρόστιμα έως €15 million ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, οποιοδήποτε είναι υψηλότερο. Κατώτατα ανώτατα όρια ισχύουν για άλλες παραβάσεις και για την παροχή εσφαλμένων πληροφοριών.
08Συνήθεις ερωτήσεις
Εφαρμόζεται η Πράξη για την Κυβερνοανθεκτικότητα στο προϊόν μου;
Εάν το προϊόν σας περιέχει λογισμικό ή υλικολογισμικό και διατίθεται στην αγορά της ΕΕ με άμεση ή έμμεση σύνδεση δεδομένων, είναι πολύ πιθανό να εμπίπτει στο πεδίο εφαρμογής. Τα προϊόντα ειδικού τομέα (ιατρικές συσκευές, οχήματα, αεροπορία) και ο μη εμπορικός ανοικτός κώδικας αποτελούν τις κύριες εξαιρέσεις. Το Γρήγορος Έλεγχος το επιβεβαιώνει σε δύο λεπτά.
Πότε εφαρμόζεται πραγματικά ο CRA;
Τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι υποχρεώσεις αναφοράς ισχύουν από τις 11 Σεπτεμβρίου 2026 και το σύνολο των υποχρεώσεων ισχύει από τις 11 Δεκεμβρίου 2027.
Ποια είναι η διαφορά μεταξύ προεπιλεγμένων, σημαντικών και κρίσιμων προϊόντων;
Τα προεπιλεγμένα προϊόντα αυτοαξιολογούνται. Τα σημαντικά προϊόντα (Παράρτημα III, Κατηγορία I ή II) απαιτούν εναρμονισμένα πρότυπα ή κοινοποιημένο οργανισμό. Τα κρίσιμα προϊόντα (Παράρτημα IV) υπόκεινται σε υποχρεωτική πιστοποίηση. Η ταξινόμηση ακολουθεί την κύρια λειτουργία του προϊόντος· εφαρμόζεται η αυστηρότερη κατηγορία όταν εφαρμόζεται περισσότερη από μία.
Χρειάζομαι κατάλογο υλικών λογισμικού (SBOM);
Ναι. Οι κατασκευαστές οφείλουν να εντοπίζουν και να τεκμηριώνουν τα εξαρτήματα του προϊόντος, μεταξύ άλλων με τη σύνταξη SBOM σε κοινώς χρησιμοποιούμενη, αναγνώσιμη από μηχανές μορφή. Παράρτημα I · II(1)
Ποιες είναι οι κυρώσεις για τη μη συμμόρφωση;
Έως €15 million ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, οποιοδήποτε είναι υψηλότερο, για παραβάσεις των βασικών απαιτήσεων ή υποχρεώσεων του κατασκευαστή.
Περισσότερες απαντήσεις, κάθε μία με την παραπομπή στο σχετικό άρθρο, βρίσκονται στη πλήρη σελίδα ΣΕΕ.
09Τι να κάνετε στη συνέχεια
Ξεκινήστε επιβεβαιώνοντας εάν η Πράξη εφαρμόζεται στο προϊόν σας, ακολουθήστε στη συνέχεια τις οδηγίες που αντιστοιχούν στον ρόλο σας και παρακολουθήστε τις απαιτήσεις μέχρι την ολοκλήρωσή τους.