Συχνές ερωτήσεις

Η κατάταξη ακολουθεί τη βασική λειτουργικότητα του προϊόντος, και όχι κάθε χαρακτηριστικό που περιλαμβάνει. Εάν η βασική λειτουργία αντιστοιχεί σε κατηγορία που κατονομάζεται στο παράρτημα III, το προϊόν είναι «σημαντικό» (κατηγορία I ή II)· εάν αντιστοιχεί στο παράρτημα IV, είναι «κρίσιμο»· διαφορετικά, είναι «προεπιλεγμένο». Μια δυνατότητα όπως η διαχείριση ταυτότητας ή ένα VPN, που περιλαμβάνεται απλώς ως χαρακτηριστικό, δεν καθιστά το προϊόν «σημαντικό» εκτός εάν αυτός είναι ο βασικός σκοπός του. Όταν θα μπορούσαν να ισχύουν περισσότερες από μία κατηγορίες, εφαρμόζεται η αυστηρότερη κατηγορία. Άρθ. 7

Το μη εμπορικό λογισμικό ανοιχτού κώδικα που αναπτύσσεται εκτός εμπορικής δραστηριότητας βρίσκεται σε μεγάλο βαθμό εκτός πεδίου εφαρμογής. Οι διαχειριστές λογισμικού ανοιχτού κώδικα έχουν ένα ελαφρύτερο, προσαρμοσμένο σύνολο υποχρεώσεων. Τα συστατικά ανοιχτού κώδικα που παρέχονται στο πλαίσιο εμπορικής δραστηριότητας μπορούν να εμπίπτουν στο πεδίο εφαρμογής.

Οι αυτόνομες υπηρεσίες γενικά βρίσκονται εκτός της CRA. Ωστόσο, οι λύσεις απομακρυσμένης επεξεργασίας δεδομένων που είναι αναγκαίες ώστε ένα προϊόν να επιτελεί τις λειτουργίες του θεωρούνται μέρος του προϊόντος αυτού και εμπίπτουν στο πεδίο εφαρμογής. Το να βρίσκεται κάτι εκτός της CRA δεν σημαίνει ότι δεν υπόκειται σε ρυθμίσεις: οι διαδικτυακές υπηρεσίες και οι υπηρεσίες υπολογιστικού νέφους μπορεί να εμπίπτουν σε άλλους κανόνες της ΕΕ, ιδίως στην NIS2 (οδηγία (ΕΕ) 2022/2555) για οντότητες μεσαίου και μεγάλου μεγέθους σε καλυπτόμενους τομείς, και στον GDPR για δεδομένα προσωπικού χαρακτήρα. Άρθ. 3(2)

Ναι. Ο CRA εφαρμόζεται σε προϊόντα που διατίθενται στην αγορά της ΕΕ ανεξάρτητα από τον τόπο εγκατάστασης του κατασκευαστή. Οι κατασκευαστές εκτός της ΕΕ πρέπει να διασφαλίζουν ότι ένας οικονομικός φορέας εγκατεστημένος στην Ένωση είναι υπεύθυνος για τις σχετικές υποχρεώσεις.

Εμπίπτουν σε δύο μέρη του παραρτήματος I: ιδιότητες ασφάλειας που πρέπει να διαθέτει το προϊόν (ασφαλές εξ ορισμού, εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα, ελαχιστοποιημένη επιφάνεια επίθεσης, ενημερώσεις ασφάλειας) και διαδικασίες χειρισμού ευπαθειών που πρέπει να εφαρμόζει ο κατασκευαστής (SBOM, αποκατάσταση, συντονισμένη γνωστοποίηση). Παράρτημα I

Ναι. Οι κατασκευαστές πρέπει να εντοπίζουν και να τεκμηριώνουν τα συστατικά που περιέχονται στο προϊόν, μεταξύ άλλων με την κατάρτιση καταλόγου υλικών λογισμικού σε ευρέως χρησιμοποιούμενο, μηχαναγνώσιμο μορφότυπο. Παράρτημα I · II(1)

Η περίοδος υποστήριξης είναι το διάστημα κατά το οποίο ο κατασκευαστής πρέπει να παρέχει ενημερώσεις ασφάλειας. Πρέπει να αντικατοπτρίζει το διάστημα κατά το οποίο ευλόγως αναμένεται να χρησιμοποιηθεί το προϊόν: πέντε έτη ως προεπιλογή, μικρότερη όταν η αναμενόμενη χρήση είναι μικρότερη και μεγαλύτερη όταν είναι μεγαλύτερη. Άρθ. 13(8)

Οι ενεργά αξιοποιούμενες ευπάθειες και τα σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος πρέπει να κοινοποιούνται στον ENISA και στην αρμόδια CSIRT. Έγκαιρη προειδοποίηση οφείλεται εντός 24 ωρών από τη λήψη γνώσης, ακολουθούμενη από πληρέστερη κοινοποίηση και τελική έκθεση. Άρθ. 14

Η Πράξη τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι υποχρεώσεις αναφοράς εφαρμόζονται από τον Σεπτέμβριο του 2026 (21 μήνες αργότερα) και το μεγαλύτερο μέρος των υποχρεώσεων εφαρμόζεται από τον Δεκέμβριο του 2027 (36 μήνες αργότερα). Άρθ. 71

Οι παραβάσεις των βασικών απαιτήσεων ή των υποχρεώσεων του κατασκευαστή μπορούν να επισύρουν πρόστιμα έως 15 εκατομμύρια € ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο. Χαμηλότερα ανώτατα όρια εφαρμόζονται σε άλλες παραβάσεις και στην παροχή εσφαλμένων πληροφοριών.

Ναι, από τις 11 Σεπτεμβρίου 2026, την ημέρα που ξεκίνησε η ίδια η υποχρέωση του άρθρου 14. Η πλατφόρμα βρίσκεται σε λειτουργία στη διεύθυνση portal.cra-srp.enisa.europa.eu· επιλέγετε τον ρόλο του Εξουσιοδοτημένου Αντιπροσώπου και συνδέεστε με λογαριασμό EU Login στον οποίο είναι ενεργοποιημένος ο έλεγχος ταυτότητας πολλαπλών παραγόντων. Ο ENISA δημοσίευσε τη διεύθυνση στις Συχνές ερωτήσεις του SRP στις 10 Σεπτεμβρίου 2026, μαζί με εγχειρίδιο χρήστη για τον Εξουσιοδοτημένο Αντιπρόσωπο και τους όρους και προϋποθέσεις της πλατφόρμας. Τέσσερα στοιχεία δεν παρέχονταν από την αρχή: η εθελοντική αναφορά βάσει του άρθρου 15, ένα API αναφοράς, ένα πεδίο επίγνωσης για ενεργά εκμεταλλευόμενες ευπάθειες και ένας μετρητής 72 ωρών που μετράει από τη στιγμή της επίγνωσης και όχι από την υποβολή της έγκαιρης προειδοποίησής σας, γεγονός που σημαίνει ότι το ρολόι στην οθόνη μπορεί να εμφανίσει μια υποβολή ως εκπρόθεσμη πριν παρέλθει η νόμιμη προθεσμία. Η πλατφόρμα λειτουργεί προς το παρόν μόνο στα αγγλικά. Βλ. το οδηγό αναφοράς. Άρθ. 14 · 16

Το αίτημα τυποποίησης M/606 της Επιτροπής έγινε δεκτό από τους CEN, CENELEC και ETSI το 2025, καλύπτοντας περίπου 41 πρότυπα (οριζόντια και ειδικά ανά προϊόν). Μετά το σχέδιο τροποποίησης της Επιτροπής του Ιουλίου 2026 προς το M/606, το οποίο μετέθεσε τις προθεσμίες του 2026 κατά δύο μήνες, τα δύο βασικά οριζόντια πρότυπα (ασφαλής ανάπτυξη και χειρισμός ευπαθειών) αναμένονται πλέον έως τις 31 Οκτωβρίου 2026, τα κάθετα πρότυπα προϊόντων έως τις 31 Δεκεμβρίου 2026, και τα υπόλοιπα οριζόντια πρότυπα έως τις 30 Οκτωβρίου 2027, πριν από την πλήρη εφαρμογή τον Δεκέμβριο του 2027. Η τήρηση ενός μνημονευόμενου εναρμονισμένου προτύπου παρέχει τεκμήριο συμμόρφωσης. Παράρτημα I

Διενεργήστε τη διαδρομή αξιολόγησης της συμμόρφωσης για την κατηγορία του προϊόντος σας, καταρτίστε την τεχνική τεκμηρίωση, συντάξτε και υπογράψτε τη δήλωση συμμόρφωσης ΕΕ και, στη συνέχεια, τοποθετήστε τη σήμανση CE. Τα προεπιλεγμένα προϊόντα μπορούν να υποβληθούν σε αυτοαξιολόγηση· τα σημαντικά και κρίσιμα προϊόντα απαιτούν αυστηρότερες διαδρομές. Άρθ. 28 · 32

Ξεκινήστε με τον Γρήγορο Έλεγχο CRA για να επιβεβαιώσετε το πεδίο εφαρμογής και την κατηγορία, ακολουθήστε τον οδηγό που έχει συνταχθεί για τον ρόλο σας και χρησιμοποιήστε τη μήτρα συμμόρφωσης για να παρακολουθείτε τις βασικές απαιτήσεις έως την ολοκλήρωσή τους.

Οι υποχρεώσεις αναφοράς του Άρθρου 14 καθίστανται εκτελεστές. Από την ημερομηνία αυτή, οι κατασκευαστές οφείλουν να κοινοποιούν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα στην ENISA και στο αρμόδιο CSIRT μέσω της ενιαίας πλατφόρμας αναφοράς. Είναι η πρώτη σε χρόνο κύρια υποχρέωση του CRA που τίθεται σε ισχύ, πολύ πριν από την πλήρη εφαρμογή στις 11 Δεκεμβρίου 2027. Βλ. οδηγό αναφοράς. Άρθ. 14 · 71

Όχι. Μόνο ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος σας είναι αναφερτέα βάσει του Άρθρου 14. Ευπάθειες που εντοπίζετε και επιδιορθώνετε πριν αξιοποιηθούν διαχειρίζονται μέσω της συνήθους διαδικασίας διαχείρισης ευπαθειών και όχι μέσω του καναλιού αναφοράς. Το οδηγό αναφοράς ορίζει τον έλεγχο και τις προθεσμίες. Άρθ. 14

Μέσω της ενιαίας πλατφόρμας αναφοράς του ENISA, σε λειτουργία από τις 11 Σεπτεμβρίου 2026 στη διεύθυνση portal.cra-srp.enisa.europa.eu, η οποία δρομολογεί την κοινοποίησή σας στον ENISA και στο αρμόδιο εθνικό CSIRT. Αποστέλλετε έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που λάβετε γνώση, πληρέστερη κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός 14 ημερών από τη διαθεσιμότητα διορθωτικού μέτρου για μια ευπάθεια, ή εντός ενός μηνός από την κοινοποίηση των 72 ωρών για σοβαρό συμβάν. Η σύνδεση γίνεται μέσω EU Login με έλεγχο ταυτότητας πολλαπλών παραγόντων. Βλ. το βήμα προς βήμα οδηγό αναφοράς. Άρθ. 14 · 16

Γενικά όχι από μόνη της. Οι κατευθυντήριες γραμμές της Επιτροπής διευκρινίζουν ότι το λογισμικό που εκτελείται στη συσκευή του χρήστη (μια εφαρμογή που λαμβάνεται, μια επέκταση προγράμματος περιήγησης, ένας πελάτης που εγκαθίσταται τοπικά) αποτελεί προϊόν με ψηφιακά στοιχεία, ενώ μια διαδικτυακή εφαρμογή που χρησιμοποιείται αποκλειστικά μέσω προγράμματος περιήγησης ή ένας ιστότοπος που απλώς παρουσιάζει πληροφορίες δεν αποτελεί. Μια απομακρυσμένη υπηρεσία καλύπτεται μόνο εφόσον πρόκειται για απομακρυσμένη επεξεργασία δεδομένων που είναι αναγκαία ώστε ένα προϊόν να επιτελεί τις λειτουργίες του. Το να βρίσκεται κάτι εκτός του πεδίου της CRA δεν σημαίνει ότι δεν υπόκειται σε ρυθμίσεις: μια υπηρεσία αποκλειστικά διαδικτυακή μπορεί και πάλι να εμπίπτει στην NIS2 (για παρόχους μεσαίου και μεγάλου μεγέθους) και στον GDPR. Art. 3 Δείτε το Επισκόπηση των κατευθυντήριων γραμμών της Επιτροπής.

Μπορεί να αλλάξει την απάντηση, επειδή η CRA ρυθμίζει προϊόντα και όχι υπηρεσίες. Ο ίδιος κώδικας, όταν συσκευάζεται ως εφαρμογή με δυνατότητα εγκατάστασης (συμπεριλαμβανομένης μιας έκδοσης με Capacitor, Electron ή παρόμοιο εργαλείο), εκτελείται στη συσκευή του χρήστη και αποτελεί προϊόν με ψηφιακά στοιχεία, οπότε εφαρμόζεται η CRA. Όταν παρέχεται μόνο ως προοδευτική διαδικτυακή εφαρμογή (PWA) στο πρόγραμμα περιήγησης, αποτελεί διαδικτυακή υπηρεσία και γενικά βρίσκεται εκτός της CRA ως προϊόν· το σύστημα υποστήριξης (backend) με το οποίο επικοινωνεί καλύπτεται μόνο εφόσον πρόκειται για απομακρυσμένη επεξεργασία δεδομένων που χρειάζεται ένα προϊόν για να επιτελεί τις λειτουργίες του. Δύο επιφυλάξεις: μια αποκλειστικά διαδικτυακή υπηρεσία δεν είναι αρρύθμιστη (η NIS2 μπορεί να εφαρμόζεται σε παρόχους μεσαίου και μεγάλου μεγέθους και ο GDPR στα δεδομένα προσωπικού χαρακτήρα), και το όριο μεταξύ προϊόντος και υπηρεσίας μπορεί να είναι θολό, επομένως η επιλογή «διάθεση ως PWA» πρέπει να αντιμετωπίζεται ως αρχιτεκτονική απόφαση και όχι ως εγγυημένη εξαίρεση. Art. 3 Δείτε το Επισκόπηση των κατευθυντήριων γραμμών της Επιτροπής.

Μόνο όταν η ενημέρωση είναι ουσιώδης τροποποίηση: μια αλλαγή που μεταβάλλει τον κίνδυνο κυβερνοασφάλειας του προϊόντος με τρόπο που η εκτίμηση κινδύνου σας δεν είχε ήδη καλύψει. Οι συνήθεις ενημερώσεις ασφαλείας γενικά δεν αποτελούν ουσιώδεις τροποποιήσεις. Όταν μια ενημέρωση είναι ουσιώδης, το τροποποιημένο προϊόν θεωρείται ότι διατίθεται εκ νέου στην αγορά και απαιτείται νέα αξιολόγηση συμμόρφωσης για τα επηρεαζόμενα μέρη. Art. 3(30) Το Κατευθυντήριες γραμμές της Επιτροπής καθορίζει το κριτήριο.