Συχνές ερωτήσεις

Η κατάταξη ακολουθεί τη βασική λειτουργικότητα του προϊόντος, και όχι κάθε χαρακτηριστικό που περιλαμβάνει. Εάν η βασική λειτουργία αντιστοιχεί σε κατηγορία που κατονομάζεται στο παράρτημα III, το προϊόν είναι «σημαντικό» (κατηγορία I ή II)· εάν αντιστοιχεί στο παράρτημα IV, είναι «κρίσιμο»· διαφορετικά, είναι «προεπιλεγμένο». Μια δυνατότητα όπως η διαχείριση ταυτότητας ή ένα VPN, που περιλαμβάνεται απλώς ως χαρακτηριστικό, δεν καθιστά το προϊόν «σημαντικό» εκτός εάν αυτός είναι ο βασικός σκοπός του. Όταν θα μπορούσαν να ισχύουν περισσότερες από μία κατηγορίες, εφαρμόζεται η αυστηρότερη κατηγορία. Άρθ. 7

Το μη εμπορικό λογισμικό ανοιχτού κώδικα που αναπτύσσεται εκτός εμπορικής δραστηριότητας βρίσκεται σε μεγάλο βαθμό εκτός πεδίου εφαρμογής. Οι διαχειριστές λογισμικού ανοιχτού κώδικα έχουν ένα ελαφρύτερο, προσαρμοσμένο σύνολο υποχρεώσεων. Τα συστατικά ανοιχτού κώδικα που παρέχονται στο πλαίσιο εμπορικής δραστηριότητας μπορούν να εμπίπτουν στο πεδίο εφαρμογής.

Οι αυτόνομες υπηρεσίες βρίσκονται γενικά εκτός του CRA. Ωστόσο, οι λύσεις απομακρυσμένης επεξεργασίας δεδομένων που είναι αναγκαίες για να επιτελεί ένα προϊόν τις λειτουργίες του αντιμετωπίζονται ως μέρος του προϊόντος αυτού και εμπίπτουν στο πεδίο εφαρμογής. Άρθ. 3(2)

Ναι. Ο CRA εφαρμόζεται σε προϊόντα που διατίθενται στην αγορά της ΕΕ ανεξάρτητα από τον τόπο εγκατάστασης του κατασκευαστή. Οι κατασκευαστές εκτός της ΕΕ πρέπει να διασφαλίζουν ότι ένας οικονομικός φορέας εγκατεστημένος στην Ένωση είναι υπεύθυνος για τις σχετικές υποχρεώσεις.

Εμπίπτουν σε δύο μέρη του παραρτήματος I: ιδιότητες ασφάλειας που πρέπει να διαθέτει το προϊόν (ασφαλές εξ ορισμού, εμπιστευτικότητα, ακεραιότητα, διαθεσιμότητα, ελαχιστοποιημένη επιφάνεια επίθεσης, ενημερώσεις ασφάλειας) και διαδικασίες χειρισμού ευπαθειών που πρέπει να εφαρμόζει ο κατασκευαστής (SBOM, αποκατάσταση, συντονισμένη γνωστοποίηση). Παράρτημα I

Ναι. Οι κατασκευαστές πρέπει να εντοπίζουν και να τεκμηριώνουν τα συστατικά που περιέχονται στο προϊόν, μεταξύ άλλων με την κατάρτιση καταλόγου υλικών λογισμικού σε ευρέως χρησιμοποιούμενο, μηχαναγνώσιμο μορφότυπο. Παράρτημα I · II(1)

Η περίοδος υποστήριξης είναι το διάστημα κατά το οποίο ο κατασκευαστής πρέπει να παρέχει ενημερώσεις ασφάλειας. Πρέπει να αντικατοπτρίζει το διάστημα κατά το οποίο ευλόγως αναμένεται να χρησιμοποιηθεί το προϊόν: πέντε έτη ως προεπιλογή, μικρότερη όταν η αναμενόμενη χρήση είναι μικρότερη και μεγαλύτερη όταν είναι μεγαλύτερη. Άρθ. 13(8)

Οι ενεργά αξιοποιούμενες ευπάθειες και τα σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος πρέπει να κοινοποιούνται στον ENISA και στην αρμόδια CSIRT. Έγκαιρη προειδοποίηση οφείλεται εντός 24 ωρών από τη λήψη γνώσης, ακολουθούμενη από πληρέστερη κοινοποίηση και τελική έκθεση. Άρθ. 14

Η Πράξη τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024. Οι υποχρεώσεις αναφοράς εφαρμόζονται από τον Σεπτέμβριο του 2026 (21 μήνες αργότερα) και το μεγαλύτερο μέρος των υποχρεώσεων εφαρμόζεται από τον Δεκέμβριο του 2027 (36 μήνες αργότερα). Άρθ. 71

Οι παραβάσεις των βασικών απαιτήσεων ή των υποχρεώσεων του κατασκευαστή μπορούν να επισύρουν πρόστιμα έως 15 εκατομμύρια € ή 2,5% του συνολικού παγκόσμιου ετήσιου κύκλου εργασιών, ανάλογα με το ποιο είναι υψηλότερο. Χαμηλότερα ανώτατα όρια εφαρμόζονται σε άλλες παραβάσεις και στην παροχή εσφαλμένων πληροφοριών.

Yes, since 11 September 2026, the day the Article 14 duty itself began. The platform is live at portal.cra-srp.enisa.europa.eu; you select the Assigned Representative role and sign in with an EU Login account that has multi-factor authentication enabled. ENISA published the address in its SRP FAQ on 10 September 2026, alongside an AR User Manual and platform terms and conditions. Four things did not arrive with it: voluntary reporting under Article 15, a reporting API, an awareness field for actively exploited vulnerabilities, and a 72-hour counter that measures from awareness rather than from submission of your early warning, which means the on-screen clock can show a filing as overdue before the legal deadline has passed. The platform runs in English only for now. See the οδηγό αναφοράς. Άρθ. 14 · 16

Το αίτημα τυποποίησης M/606 της Επιτροπής έγινε δεκτό από τους CEN, CENELEC και ETSI το 2025, καλύπτοντας περίπου 41 πρότυπα (οριζόντια και ειδικά ανά προϊόν). Μετά το σχέδιο τροποποίησης της Επιτροπής του Ιουλίου 2026 προς το M/606, το οποίο μετέθεσε τις προθεσμίες του 2026 κατά δύο μήνες, τα δύο βασικά οριζόντια πρότυπα (ασφαλής ανάπτυξη και χειρισμός ευπαθειών) αναμένονται πλέον έως τις 31 Οκτωβρίου 2026, τα κάθετα πρότυπα προϊόντων έως τις 31 Δεκεμβρίου 2026, και τα υπόλοιπα οριζόντια πρότυπα έως τις 30 Οκτωβρίου 2027, πριν από την πλήρη εφαρμογή τον Δεκέμβριο του 2027. Η τήρηση ενός μνημονευόμενου εναρμονισμένου προτύπου παρέχει τεκμήριο συμμόρφωσης. Παράρτημα I

Διενεργήστε τη διαδρομή αξιολόγησης της συμμόρφωσης για την κατηγορία του προϊόντος σας, καταρτίστε την τεχνική τεκμηρίωση, συντάξτε και υπογράψτε τη δήλωση συμμόρφωσης ΕΕ και, στη συνέχεια, τοποθετήστε τη σήμανση CE. Τα προεπιλεγμένα προϊόντα μπορούν να υποβληθούν σε αυτοαξιολόγηση· τα σημαντικά και κρίσιμα προϊόντα απαιτούν αυστηρότερες διαδρομές. Άρθ. 28 · 32

Ξεκινήστε με τον Γρήγορο Έλεγχο CRA για να επιβεβαιώσετε το πεδίο εφαρμογής και την κατηγορία, ακολουθήστε τον οδηγό που έχει συνταχθεί για τον ρόλο σας και χρησιμοποιήστε τη μήτρα συμμόρφωσης για να παρακολουθείτε τις βασικές απαιτήσεις έως την ολοκλήρωσή τους.

Οι υποχρεώσεις αναφοράς του Άρθρου 14 καθίστανται εκτελεστές. Από την ημερομηνία αυτή, οι κατασκευαστές οφείλουν να κοινοποιούν ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα στην ENISA και στο αρμόδιο CSIRT μέσω της ενιαίας πλατφόρμας αναφοράς. Είναι η πρώτη σε χρόνο κύρια υποχρέωση του CRA που τίθεται σε ισχύ, πολύ πριν από την πλήρη εφαρμογή στις 11 Δεκεμβρίου 2027. Βλ. οδηγό αναφοράς. Άρθ. 14 · 71

Όχι. Μόνο ενεργά εκμεταλλευόμενες ευπάθειες και σοβαρά συμβάντα που επηρεάζουν την ασφάλεια του προϊόντος σας είναι αναφερτέα βάσει του Άρθρου 14. Ευπάθειες που εντοπίζετε και επιδιορθώνετε πριν αξιοποιηθούν διαχειρίζονται μέσω της συνήθους διαδικασίας διαχείρισης ευπαθειών και όχι μέσω του καναλιού αναφοράς. Το οδηγό αναφοράς ορίζει τον έλεγχο και τις προθεσμίες. Άρθ. 14

Through ENISA's single reporting platform, live since 11 September 2026 at portal.cra-srp.enisa.europa.eu, which routes your notification to ENISA and the relevant national CSIRT. You send an early warning within 24 hours of becoming aware, a fuller notification within 72 hours, and a final report within 14 days of a corrective measure being available for a vulnerability, or within one month of the 72-hour notification for a severe incident. Sign-in is through EU Login with multi-factor authentication. See the step-by-step οδηγό αναφοράς. Άρθ. 14 · 16

Γενικά όχι από μόνο του. Οι κατευθυντήριες γραμμές της Επιτροπής διευκρινίζουν ότι το λογισμικό που εκτελείται στη συσκευή του χρήστη (μια μεταφορτωμένη εφαρμογή, μια επέκταση προγράμματος περιήγησης, ένα τοπικά εγκατεστημένο πρόγραμμα-πελάτης) αποτελεί προϊόν με ψηφιακά στοιχεία, ενώ μια εφαρμογή ιστού που χρησιμοποιείται μόνο μέσω προγράμματος περιήγησης, ή ένας ιστότοπος που απλώς παρουσιάζει πληροφορίες, δεν αποτελεί. Μια απομακρυσμένη υπηρεσία καλύπτεται μόνο όταν συνιστά απομακρυσμένη επεξεργασία δεδομένων απαραίτητη για να επιτελέσει ένα προϊόν τις λειτουργίες του. Art. 3 Δείτε το Επισκόπηση των κατευθυντήριων γραμμών της Επιτροπής.

Μόνο όταν η ενημέρωση είναι ουσιώδης τροποποίηση: μια αλλαγή που μεταβάλλει τον κίνδυνο κυβερνοασφάλειας του προϊόντος με τρόπο που η εκτίμηση κινδύνου σας δεν είχε ήδη καλύψει. Οι συνήθεις ενημερώσεις ασφαλείας γενικά δεν αποτελούν ουσιώδεις τροποποιήσεις. Όταν μια ενημέρωση είναι ουσιώδης, το τροποποιημένο προϊόν θεωρείται ότι διατίθεται εκ νέου στην αγορά και απαιτείται νέα αξιολόγηση συμμόρφωσης για τα επηρεαζόμενα μέρη. Art. 3(30) Το Κατευθυντήριες γραμμές της Επιτροπής καθορίζει το κριτήριο.