Ο CRA εφαρμόζεται σε προϊόντα με ψηφιακά στοιχεία που καθίστανται διαθέσιμα στην αγορά της ΕΕ των οποίων η προβλεπόμενη ή ευλόγως προβλέψιμη χρήση περιλαμβάνει άμεση ή έμμεση σύνδεση δεδομένων. Εάν το προϊόν σας περιέχει λογισμικό ή υλικολογισμικό και φθάνει στην αγορά της ΕΕ, είναι πολύ πιθανό να εμπίπτει στο πεδίο εφαρμογής. Άρθ. 2 Ο ταχύτερος τρόπος ελέγχου είναι η αυτοαξιολόγηση.
Βοήθεια · Συχνές ερωτήσεις
Συχνές ερωτήσεις
Σύντομες απαντήσεις στις ερωτήσεις που υποβάλλουν συχνότερα οι ενδιαφερόμενοι σχετικά με την Πράξη για την Κυβερνοανθεκτικότητα, με παραπομπές στο κείμενο.
Ερωτήσεις και απαντήσεις
Η κατάταξη ακολουθεί τη βασική λειτουργικότητα του προϊόντος, και όχι κάθε χαρακτηριστικό που περιλαμβάνει. Εάν η βασική λειτουργία αντιστοιχεί σε κατηγορία που κατονομάζεται στο παράρτημα III, το προϊόν είναι «σημαντικό» (κατηγορία I ή II)· εάν αντιστοιχεί στο παράρτημα IV, είναι «κρίσιμο»· διαφορετικά, είναι «προεπιλεγμένο». Μια δυνατότητα όπως η διαχείριση ταυτότητας ή ένα VPN, που περιλαμβάνεται απλώς ως χαρακτηριστικό, δεν καθιστά το προϊόν «σημαντικό» εκτός εάν αυτός είναι ο βασικός σκοπός του. Όταν θα μπορούσαν να ισχύουν περισσότερες από μία κατηγορίες, εφαρμόζεται η αυστηρότερη κατηγορία. Άρθ. 7
Το μη εμπορικό λογισμικό ανοιχτού κώδικα που αναπτύσσεται εκτός εμπορικής δραστηριότητας βρίσκεται σε μεγάλο βαθμό εκτός πεδίου εφαρμογής. Οι διαχειριστές λογισμικού ανοιχτού κώδικα έχουν ένα ελαφρύτερο, προσαρμοσμένο σύνολο υποχρεώσεων. Τα συστατικά ανοιχτού κώδικα που παρέχονται στο πλαίσιο εμπορικής δραστηριότητας μπορούν να εμπίπτουν στο πεδίο εφαρμογής.
Οι αυτόνομες υπηρεσίες βρίσκονται γενικά εκτός του CRA. Ωστόσο, οι λύσεις απομακρυσμένης επεξεργασίας δεδομένων που είναι αναγκαίες για να επιτελεί ένα προϊόν τις λειτουργίες του αντιμετωπίζονται ως μέρος του προϊόντος αυτού και εμπίπτουν στο πεδίο εφαρμογής. Άρθ. 3(2)
Ναι. Ο CRA εφαρμόζεται σε προϊόντα που διατίθενται στην αγορά της ΕΕ ανεξάρτητα από τον τόπο εγκατάστασης του κατασκευαστή. Οι κατασκευαστές εκτός της ΕΕ πρέπει να διασφαλίζουν ότι ένας οικονομικός φορέας εγκατεστημένος στην Ένωση είναι υπεύθυνος για τις σχετικές υποχρεώσεις.
Εμπίπτουν σε δύο μέρη του παραρτήματος I: ιδιότητες ασφάλειας που πρέπει να διαθέτει το προϊόν (ασφαλές εξ ορισμού, εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα, ελαχιστοποιημένη επιφάνεια επίθεσης, ενημερώσεις ασφάλειας) και διαδικασίες χειρισμού ευπαθειών που πρέπει να εφαρμόζει ο κατασκευαστής (SBOM, αποκατάσταση, συντονισμένη γνωστοποίηση). Παράρτημα I
Ναι. Οι κατασκευαστές πρέπει να εντοπίζουν και να τεκμηριώνουν τα συστατικά που περιέχονται στο προϊόν, μεταξύ άλλων με την κατάρτιση καταλόγου υλικών λογισμικού σε ευρέως χρησιμοποιούμενο, μηχαναγνώσιμο μορφότυπο. Παράρτημα I · II(1)
Η περίοδος υποστήριξης είναι το διάστημα κατά το οποίο ο κατασκευαστής πρέπει να παρέχει ενημερώσεις ασφάλειας. Πρέπει να αντικατοπτρίζει το διάστημα κατά το οποίο ευλόγως αναμένεται να χρησιμοποιηθεί το προϊόν· οι κατευθυντήριες γραμμές της Επιτροπής υποδεικνύουν ότι αυτό θα πρέπει γενικά να είναι τουλάχιστον πέντε έτη, εκτός εάν η αναμενόμενη χρήση είναι συντομότερη. Άρθ. 13(8)
Οι ενεργά αξιοποιούμενες ευπάθειες και τα σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος πρέπει να κοινοποιούνται στον ENISA και στην αρμόδια CSIRT. Έγκαιρη προειδοποίηση οφείλεται εντός 24 ωρών από τη λήψη γνώσης, ακολουθούμενη από πληρέστερη κοινοποίηση και τελική έκθεση. Άρθ. 14
Η Πράξη τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι υποχρεώσεις αναφοράς εφαρμόζονται από τον Σεπτέμβριο του 2026 (21 μήνες αργότερα) και το μεγαλύτερο μέρος των υποχρεώσεων εφαρμόζεται από τον Δεκέμβριο του 2027 (36 μήνες αργότερα). Άρθ. 71
Οι παραβάσεις των βασικών απαιτήσεων ή των υποχρεώσεων του κατασκευαστή μπορούν να επισύρουν πρόστιμα έως 15 εκατομμύρια € ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο. Χαμηλότερα ανώτατα όρια εφαρμόζονται σε άλλες παραβάσεις και στην παροχή εσφαλμένων πληροφοριών.
Όχι ακόμη, από τα μέσα του 2026. Η ENISA κατασκευάζει την ενιαία πλατφόρμα αναφοράς βάσει του Άρθρου 16 και δημοσιεύει υλικό εγγραφής και δοκιμαστικής λειτουργίας στο διάστημα που προηγείται· σκοπεύεται να τεθεί σε λειτουργία έως τις 11 Σεπτεμβρίου 2026, με περίοδο δοκιμών πριν από αυτή. Σημειώστε επίσης ότι η ακριβής μορφή και διαδικασία αναφοράς μπορεί να εξειδικευτεί ακόμη από εκτελεστικές πράξεις της Επιτροπής, και τα εναρμονισμένα πρότυπα που υποστηρίζουν τη διαχείριση ευπαθειών αναμένονται περίπου στις 30 Αυγούστου 2026· συνεπώς, αναπτύξτε την εσωτερική σας διαδικασία τώρα, αντί να περιμένετε τους τελικούς μηχανισμούς. Βλ. οδηγό αναφοράς. Άρθ. 14 · 16
Το αίτημα τυποποίησης M/606 της Επιτροπής έγινε δεκτό από τους CEN, CENELEC και ETSI το 2025, καλύπτοντας περίπου 41 πρότυπα (οριζόντια και ειδικά ανά προϊόν). Τα δύο βασικά οριζόντια πρότυπα (ασφαλής ανάπτυξη και χειρισμός ευπαθειών) αναμένονται έως τις 30 Αυγούστου 2026, τα κάθετα πρότυπα προϊόντων έως τις 30 Οκτωβρίου 2026, και τα υπόλοιπα οριζόντια πρότυπα έως τις 30 Οκτωβρίου 2027, πριν από την πλήρη εφαρμογή τον Δεκέμβριο του 2027. Η τήρηση ενός μνημονευόμενου εναρμονισμένου προτύπου παρέχει τεκμήριο συμμόρφωσης. Παράρτημα I
Διενεργήστε τη διαδρομή αξιολόγησης της συμμόρφωσης για την κατηγορία του προϊόντος σας, καταρτίστε την τεχνική τεκμηρίωση, συντάξτε και υπογράψτε τη δήλωση συμμόρφωσης ΕΕ και, στη συνέχεια, τοποθετήστε τη σήμανση CE. Τα προεπιλεγμένα προϊόντα μπορούν να υποβληθούν σε αυτοαξιολόγηση· τα σημαντικά και κρίσιμα προϊόντα απαιτούν αυστηρότερες διαδρομές. Άρθ. 28 · 32
Ξεκινήστε με τον Γρήγορο Έλεγχο CRA για να επιβεβαιώσετε το πεδίο εφαρμογής και την κατηγορία, ακολουθήστε τον οδηγό που έχει συνταχθεί για τον ρόλο σας και χρησιμοποιήστε τη μήτρα συμμόρφωσης για να παρακολουθείτε τις βασικές απαιτήσεις έως την ολοκλήρωσή τους.
Οι υποχρεώσεις αναφοράς του Άρθρου 14 καθίστανται εκτελεστές. Από την ημερομηνία αυτή, οι κατασκευαστές οφείλουν να κοινοποιούν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα στην ENISA και στο αρμόδιο CSIRT μέσω της ενιαίας πλατφόρμας αναφοράς. Είναι η πρώτη σε χρόνο κύρια υποχρέωση του CRA που τίθεται σε ισχύ, πολύ πριν από την πλήρη εφαρμογή στις 11 Δεκεμβρίου 2027. Βλ. οδηγό αναφοράς. Άρθ. 14 · 71
Όχι. Μόνο ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος σας είναι αναφερτέα βάσει του Άρθρου 14. Ευπάθειες που εντοπίζετε και επιδιορθώνετε πριν αξιοποιηθούν διαχειρίζονται μέσω της συνήθους διαδικασίας διαχείρισης ευπαθειών και όχι μέσω του καναλιού αναφοράς. Το οδηγό αναφοράς ορίζει τον έλεγχο και τις προθεσμίες. Άρθ. 14
Μέσω της ενιαίας πλατφόρμας αναφοράς της ENISA, η οποία διοχετεύει την κοινοποίησή σας στην ENISA και στο αρμόδιο εθνικό CSIRT. Αποστέλλετε έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που λαμβάνετε γνώση, πληρέστερη κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός 14 ημερών από τη διαθεσιμότητα διορθωτικού μέτρου. Βλ. το βήμα προς βήμα οδηγό αναφοράς. Άρθ. 14 · 16
Δεν βρήκατε την απάντησή σας;
Επιβεβαιώστε τη θέση του προϊόντος σας με τη δωρεάν αυτοαξιολόγηση, ή διαβάστε τον επεξηγηματικό οδηγό σε απλή γλώσσα.