Συχνές ερωτήσεις

Η κατάταξη ακολουθεί τη βασική λειτουργικότητα του προϊόντος, και όχι κάθε χαρακτηριστικό που περιλαμβάνει. Εάν η βασική λειτουργία αντιστοιχεί σε κατηγορία που κατονομάζεται στο παράρτημα III, το προϊόν είναι «σημαντικό» (κατηγορία I ή II)· εάν αντιστοιχεί στο παράρτημα IV, είναι «κρίσιμο»· διαφορετικά, είναι «προεπιλεγμένο». Μια δυνατότητα όπως η διαχείριση ταυτότητας ή ένα VPN, που περιλαμβάνεται απλώς ως χαρακτηριστικό, δεν καθιστά το προϊόν «σημαντικό» εκτός εάν αυτός είναι ο βασικός σκοπός του. Όταν θα μπορούσαν να ισχύουν περισσότερες από μία κατηγορίες, εφαρμόζεται η αυστηρότερη κατηγορία. Άρθ. 7

Το μη εμπορικό λογισμικό ανοιχτού κώδικα που αναπτύσσεται εκτός εμπορικής δραστηριότητας βρίσκεται σε μεγάλο βαθμό εκτός πεδίου εφαρμογής. Οι διαχειριστές λογισμικού ανοιχτού κώδικα έχουν ένα ελαφρύτερο, προσαρμοσμένο σύνολο υποχρεώσεων. Τα συστατικά ανοιχτού κώδικα που παρέχονται στο πλαίσιο εμπορικής δραστηριότητας μπορούν να εμπίπτουν στο πεδίο εφαρμογής.

Οι αυτόνομες υπηρεσίες βρίσκονται γενικά εκτός του CRA. Ωστόσο, οι λύσεις απομακρυσμένης επεξεργασίας δεδομένων που είναι αναγκαίες για να επιτελεί ένα προϊόν τις λειτουργίες του αντιμετωπίζονται ως μέρος του προϊόντος αυτού και εμπίπτουν στο πεδίο εφαρμογής. Άρθ. 3(2)

Ναι. Ο CRA εφαρμόζεται σε προϊόντα που διατίθενται στην αγορά της ΕΕ ανεξάρτητα από τον τόπο εγκατάστασης του κατασκευαστή. Οι κατασκευαστές εκτός της ΕΕ πρέπει να διασφαλίζουν ότι ένας οικονομικός φορέας εγκατεστημένος στην Ένωση είναι υπεύθυνος για τις σχετικές υποχρεώσεις.

Εμπίπτουν σε δύο μέρη του παραρτήματος I: ιδιότητες ασφάλειας που πρέπει να διαθέτει το προϊόν (ασφαλές εξ ορισμού, εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα, ελαχιστοποιημένη επιφάνεια επίθεσης, ενημερώσεις ασφάλειας) και διαδικασίες χειρισμού ευπαθειών που πρέπει να εφαρμόζει ο κατασκευαστής (SBOM, αποκατάσταση, συντονισμένη γνωστοποίηση). Παράρτημα I

Ναι. Οι κατασκευαστές πρέπει να εντοπίζουν και να τεκμηριώνουν τα συστατικά που περιέχονται στο προϊόν, μεταξύ άλλων με την κατάρτιση καταλόγου υλικών λογισμικού σε ευρέως χρησιμοποιούμενο, μηχαναγνώσιμο μορφότυπο. Παράρτημα I · II(1)

Η περίοδος υποστήριξης είναι το διάστημα κατά το οποίο ο κατασκευαστής πρέπει να παρέχει ενημερώσεις ασφάλειας. Πρέπει να αντικατοπτρίζει το διάστημα κατά το οποίο ευλόγως αναμένεται να χρησιμοποιηθεί το προϊόν: πέντε έτη ως προεπιλογή, μικρότερη όταν η αναμενόμενη χρήση είναι μικρότερη και μεγαλύτερη όταν είναι μεγαλύτερη. Άρθ. 13(8)

Οι ενεργά αξιοποιούμενες ευπάθειες και τα σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος πρέπει να κοινοποιούνται στον ENISA και στην αρμόδια CSIRT. Έγκαιρη προειδοποίηση οφείλεται εντός 24 ωρών από τη λήψη γνώσης, ακολουθούμενη από πληρέστερη κοινοποίηση και τελική έκθεση. Άρθ. 14

Η Πράξη τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι υποχρεώσεις αναφοράς εφαρμόζονται από τον Σεπτέμβριο του 2026 (21 μήνες αργότερα) και το μεγαλύτερο μέρος των υποχρεώσεων εφαρμόζεται από τον Δεκέμβριο του 2027 (36 μήνες αργότερα). Άρθ. 71

Οι παραβάσεις των βασικών απαιτήσεων ή των υποχρεώσεων του κατασκευαστή μπορούν να επισύρουν πρόστιμα έως 15 εκατομμύρια € ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο. Χαμηλότερα ανώτατα όρια εφαρμόζονται σε άλλες παραβάσεις και στην παροχή εσφαλμένων πληροφοριών.

Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its Single Reporting Platform page before go-live, and has scheduled it to be operational by 11 September 2026 with user and security testing beforehand. ENISA has published a factsheet, an FAQ and step-by-step registration and submission guidance, all last updated 3 August 2026. You can create the EU Login account the platform uses today. Note too that the harmonised standards underpinning vulnerability handling are expected around 30 August 2026 and none has yet been cited in the Official Journal; so build your internal process now rather than waiting for the final mechanics. See the οδηγό αναφοράς. Άρθ. 14 · 16

Το αίτημα τυποποίησης M/606 της Επιτροπής έγινε δεκτό από τους CEN, CENELEC και ETSI το 2025, καλύπτοντας περίπου 41 πρότυπα (οριζόντια και ειδικά ανά προϊόν). Τα δύο βασικά οριζόντια πρότυπα (ασφαλής ανάπτυξη και χειρισμός ευπαθειών) αναμένονται έως τις 30 Αυγούστου 2026, τα κάθετα πρότυπα προϊόντων έως τις 30 Οκτωβρίου 2026, και τα υπόλοιπα οριζόντια πρότυπα έως τις 30 Οκτωβρίου 2027, πριν από την πλήρη εφαρμογή τον Δεκέμβριο του 2027. Η τήρηση ενός μνημονευόμενου εναρμονισμένου προτύπου παρέχει τεκμήριο συμμόρφωσης. Παράρτημα I

Διενεργήστε τη διαδρομή αξιολόγησης της συμμόρφωσης για την κατηγορία του προϊόντος σας, καταρτίστε την τεχνική τεκμηρίωση, συντάξτε και υπογράψτε τη δήλωση συμμόρφωσης ΕΕ και, στη συνέχεια, τοποθετήστε τη σήμανση CE. Τα προεπιλεγμένα προϊόντα μπορούν να υποβληθούν σε αυτοαξιολόγηση· τα σημαντικά και κρίσιμα προϊόντα απαιτούν αυστηρότερες διαδρομές. Άρθ. 28 · 32

Ξεκινήστε με τον Γρήγορο Έλεγχο CRA για να επιβεβαιώσετε το πεδίο εφαρμογής και την κατηγορία, ακολουθήστε τον οδηγό που έχει συνταχθεί για τον ρόλο σας και χρησιμοποιήστε τη μήτρα συμμόρφωσης για να παρακολουθείτε τις βασικές απαιτήσεις έως την ολοκλήρωσή τους.

Οι υποχρεώσεις αναφοράς του Άρθρου 14 καθίστανται εκτελεστές. Από την ημερομηνία αυτή, οι κατασκευαστές οφείλουν να κοινοποιούν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα στην ENISA και στο αρμόδιο CSIRT μέσω της ενιαίας πλατφόρμας αναφοράς. Είναι η πρώτη σε χρόνο κύρια υποχρέωση του CRA που τίθεται σε ισχύ, πολύ πριν από την πλήρη εφαρμογή στις 11 Δεκεμβρίου 2027. Βλ. οδηγό αναφοράς. Άρθ. 14 · 71

Όχι. Μόνο ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος σας είναι αναφερτέα βάσει του Άρθρου 14. Ευπάθειες που εντοπίζετε και επιδιορθώνετε πριν αξιοποιηθούν διαχειρίζονται μέσω της συνήθους διαδικασίας διαχείρισης ευπαθειών και όχι μέσω του καναλιού αναφοράς. Το οδηγό αναφοράς ορίζει τον έλεγχο και τις προθεσμίες. Άρθ. 14

Μέσω της ενιαίας πλατφόρμας αναφοράς της ENISA, η οποία διοχετεύει την κοινοποίησή σας στην ENISA και στο αρμόδιο εθνικό CSIRT. Αποστέλλετε έγκαιρη προειδοποίηση εντός 24 ωρών από τη στιγμή που λαμβάνετε γνώση, πληρέστερη κοινοποίηση εντός 72 ωρών και τελική έκθεση εντός 14 ημερών από τη διαθεσιμότητα διορθωτικού μέτρου. Βλ. το βήμα προς βήμα οδηγό αναφοράς. Άρθ. 14 · 16

Γενικά όχι από μόνο του. Οι κατευθυντήριες γραμμές της Επιτροπής διευκρινίζουν ότι το λογισμικό που εκτελείται στη συσκευή του χρήστη (μια μεταφορτωμένη εφαρμογή, μια επέκταση προγράμματος περιήγησης, ένα τοπικά εγκατεστημένο πρόγραμμα-πελάτης) αποτελεί προϊόν με ψηφιακά στοιχεία, ενώ μια εφαρμογή ιστού που χρησιμοποιείται μόνο μέσω προγράμματος περιήγησης, ή ένας ιστότοπος που απλώς παρουσιάζει πληροφορίες, δεν αποτελεί. Μια απομακρυσμένη υπηρεσία καλύπτεται μόνο όταν συνιστά απομακρυσμένη επεξεργασία δεδομένων απαραίτητη για να επιτελέσει ένα προϊόν τις λειτουργίες του. Art. 3 Δείτε το Επισκόπηση των κατευθυντήριων γραμμών της Επιτροπής.

Μόνο όταν η ενημέρωση είναι ουσιώδης τροποποίηση: μια αλλαγή που μεταβάλλει τον κίνδυνο κυβερνοασφάλειας του προϊόντος με τρόπο που η εκτίμηση κινδύνου σας δεν είχε ήδη καλύψει. Οι συνήθεις ενημερώσεις ασφαλείας γενικά δεν αποτελούν ουσιώδεις τροποποιήσεις. Όταν μια ενημέρωση είναι ουσιώδης, το τροποποιημένο προϊόν θεωρείται ότι διατίθεται εκ νέου στην αγορά και απαιτείται νέα αξιολόγηση συμμόρφωσης για τα επηρεαζόμενα μέρη. Art. 3(30) Το Κατευθυντήριες γραμμές της Επιτροπής καθορίζει το κριτήριο.