Korduma kippuvad küsimused

Klassifikatsioon lähtub toote põhifunktsioonist, mitte igast funktsioonist, mida see sisaldab. Kui põhifunktsioon vastab III lisas nimetatud kategooriale, on toode „oluline“ (I või II klass); kui see vastab IV lisale, on see „kriitiline“; vastasel juhul on see „vaiketoode“. Funktsioon, nagu identiteedihaldus või VPN, mis on lisatud üksnes ühe funktsioonina, ei muuda toodet „oluliseks“, välja arvatud juhul, kui see on selle põhieesmärk. Kui kohalduda võib enam kui üks kategooria, kohaldatakse rangemat klassi. Art. 7

Väljaspool äritegevust arendatud mitteäriline avatud lähtekoodiga tarkvara jääb suuresti kohaldamisalast välja. Avatud lähtekoodiga tarkvara haldajatel on kergem ja kohandatud kohustuste kogum. Äritegevuse käigus tarnitud avatud lähtekoodiga komponendid võivad kohaldamisalasse kuuluda.

Eraldiseisvad teenused jäävad üldjuhul CRA reguleerimisalast välja. Kaugandmetöötluslahendused, mis on toote funktsioonide täitmiseks vajalikud, loetakse aga selle toote osaks ja kuuluvad reguleerimisalasse. CRA reguleerimisalast välja jäämine ei tähenda reguleerimata olemist: veebi- ja pilveteenuste suhtes võivad kehtida muud EU eeskirjad, eelkõige NIS2 (Directive (EU) 2022/2555) hõlmatud sektorite keskmistele ja suurtele üksustele ning GDPR isikuandmete puhul. Art. 3(2)

Jah. CRA kohaldub ELi turule lastud toodetele sõltumata sellest, kus tootja asub. Väljaspool ELi asuvad tootjad peavad tagama, et asjakohaste kohustuste eest vastutab liidus asuv ettevõtja.

Need jagunevad I lisa kaheks osaks: turvaomadused, mis tootel peavad olema (vaikimisi turvaline, konfidentsiaalsus, terviklus, käideldavus, minimeeritud ründepind, turvavärskendused), ja nõrkuste käsitlemise protsessid, mida tootja peab käigus hoidma (SBOM, kõrvaldamine, koordineeritud avalikustamine). I lisa

Jah. Tootjad peavad tegema kindlaks ja dokumenteerima tootes sisalduvad komponendid, sealhulgas koostades tarkvara koostisosade loendi üldkasutatavas masinloetavas vormingus. I lisa · II(1)

Toetusperiood on aeg, mille jooksul tootja peab pakkuma turvavärskendusi. See peab kajastama perioodi, mille jooksul toodet eeldatavasti mõistlikult kasutatakse: vaikimisi viis aastat, lühem, kui eeldatav kasutusaeg on lühem, ja pikem, kui see on pikem. Art. 13(8)

Aktiivselt ärakasutatavatest nõrkustest ja toote turvalisust mõjutavatest tõsistest intsidentidest tuleb teavitada ENISAt ja asjakohast CSIRTi. Varajane hoiatus tuleb esitada 24 tunni jooksul pärast teadasaamist, millele järgnevad põhjalikum teade ja lõpparuanne. Art. 14

Määrus jõustus 10. detsembril 2024. Teavitamiskohustusi kohaldatakse alates 2026. aasta septembrist (21 kuud hiljem) ja suuremat osa kohustustest kohaldatakse alates 2027. aasta detsembrist (36 kuud hiljem). Art. 71

Oluliste nõuete või tootja kohustuste rikkumine võib kaasa tuua trahvi kuni 15 miljonit € või 2,5% kogu ülemaailmsest aastakäibest, olenevalt sellest, kumb on suurem. Muude rikkumiste ja valeandmete esitamise suhtes kohaldatakse madalamaid ülempiire.

Jah, alates 11. septembrist 2026, päevast, mil artikli 14 kohustus ise algas. Platvorm on avatud aadressil portal.cra-srp.enisa.europa.eu; valite rolli „Assigned Representative“ (volitatud esindaja) ja logite sisse EU Login kontoga, millel on mitmikautentimine lubatud. ENISA avaldas aadressi oma SRP korduma kippuvate küsimuste lehel 10. septembril 2026, koos AR kasutusjuhendi ja platvormi kasutustingimustega. Nelja asja platvormiga kaasa ei tulnud: vabatahtlik teavitamine artikli 15 alusel, teavitamise API, teadlikkuse väli aktiivselt ärakasutatavate haavatavuste jaoks ning 72-tunnine loendur, mis arvestab teadlikuks saamisest, mitte varajase hoiatuse esitamisest, mistõttu võib ekraanil kuvatav kell näidata esitamist hilinenuna enne õigusliku tähtaja möödumist. Platvorm töötab praegu ainult inglise keeles. Vaadake teavitamise juhend. Art. 14 · 16

Komisjoni standardimistaotluse M/606 võtsid CEN, CENELEC ja ETSI vastu 2025. aastal ning see hõlmab umbes 41 standardit (horisontaalsed ja tootespetsiifilised). Pärast komisjoni 2026. aasta juuli muudatusettepanekut M/606 kohta, mis lükkas 2026. aasta tähtajad kaks kuud edasi, oodatakse kaht peamist horisontaalset standardit (turvaline arendus ja nõrkuste käsitlemine) nüüd 31. oktoobriks 2026, vertikaalseid tootestandardeid 31. detsembriks 2026 ja allesjäänud horisontaalseid standardeid 30. oktoobriks 2027, enne täielikku kohaldamist 2027. aasta detsembris. Tsiteeritud harmoneeritud standardi järgimine annab vastavuseelduse. I lisa

Viige läbi oma tooteklassile vastav vastavushindamistee, koostage tehniline dokumentatsioon, koostage ja allkirjastage ELi vastavusdeklaratsioon ning seejärel kinnitage CE-märgis. Vaiketooteid võib hinnata enesehindamise teel; olulised ja kriitilised tooted nõuavad rangemaid teid. Art. 28 · 32

Alustage CRA kiirkontrolliga, et kinnitada kohaldamisala ja klass, järgige oma rollile kirjutatud juhendit ning kasutage vastavusmaatriksit oluliste nõuete täitmise jälgimiseks.

Artikli 14 teavitamiskohustused muutuvad täitmisele pööratavaks. Alates sellest kuupäevast peavad tootjad teavitama aktiivselt ärakasutatavatest haavatavustest ja tõsistest intsidentidest ENISAt ja asjakohast CSIRT-i ühtsesse teavitamisplatvormi kaudu. See on CRA peamiste kohustuste seas kõige varasem jõustumine, kaugelt enne täielikku kohaldamist 11. detsembril 2027. Vaadake teavitamise juhend. Art. 14 · 71

Ei. Ainult aktiivselt ärakasutatavad haavatavused ja tõsised intsidendid mis mõjutavad teie toote turvalisust, tuleb artikli 14 alusel teatada. Haavatavusi, mille leiate ja parandate enne nende ärakasutamist, käsitletakse teie tavapärase haavatavuste käsitlemise protsessi kaudu, mitte teavitamiskanali kaudu. The teavitamise juhend sätestab testi ja tähtajad. Art. 14

ENISA ühtse teavitamisplatvormi kaudu, mis on avatud 11. septembrist 2026 aadressil portal.cra-srp.enisa.europa.eu ning suunab teie teatise ENISA-le ja asjaomasele riiklikule CSIRT-ile. Varajase hoiatuse saadate 24 tunni jooksul pärast teadlikuks saamist, põhjalikuma teatise 72 tunni jooksul ning lõpparuande 14 päeva jooksul pärast haavatavuse parandusmeetme kättesaadavaks muutumist või tõsise intsidendi korral ühe kuu jooksul pärast 72 tunni teatist. Sisselogimine toimub EU Login kaudu mitmikautentimisega. Vaadake samm-sammulist teavitamise juhend. Art. 14 · 16

Üldjuhul mitte iseenesest. Komisjoni suunised selgitavad, et tarkvara, mis töötab kasutaja seadmes (alla laaditud rakendus, brauserilaiend, kohalikult installitud klient), on digielementidega toode, samas kui ainult brauseri kaudu kasutatav veebirakendus või veebisait, mis üksnes esitab teavet, seda ei ole. Kaugteenus kuulub reguleerimisalasse ainult siis, kui see on kaugandmetöötlus, mis on toote funktsioonide täitmiseks vajalik. CRA reguleerimisalast välja jäämine ei tähenda reguleerimata olemist: ainult veebis pakutav teenus võib siiski kuuluda NIS2 (keskmistele ja suurtele pakkujatele) ja GDPR-i reguleerimisalasse. Art. 3 Vaadake Komisjoni suuniste ülevaade.

See võib vastust muuta, sest CRA reguleerib tooteid, mitte teenuseid. Sama kood, mis on pakendatud installitavaks rakenduseks (sh Capacitor, Electron või sarnane versioon), töötab kasutaja seadmes ja on digielementidega toode, seega CRA kohaldub. Kui seda pakutakse ainult progressiivse veebirakendusena brauseris, on see veebiteenus ja jääb tootena üldjuhul CRA reguleerimisalast välja; taustasüsteem, millega see suhtleb, kuulub reguleerimisalasse ainult siis, kui see on kaugandmetöötlus, mida toode oma funktsioonide täitmiseks vajab. Kaks hoiatust: ainult veebis pakutav teenus ei ole reguleerimata (NIS2 võib kehtida keskmistele ja suurtele pakkujatele ning GDPR isikuandmetele) ning toote ja teenuse piir võib hägustuda, mistõttu tuleks otsust „anda välja PWA“ käsitleda arhitektuuriotsusena, mitte garanteeritud erandina. Art. 3 Vaadake Komisjoni suuniste ülevaade.

Ainult siis, kui värskendus on oluline muudatus: muudatus, mis muudab toote küberturvalisuse riski viisil, mida teie riskihindamine juba ei hõlmanud. Tavapärased turvavärskendused ei ole üldjuhul olulised muudatused. Kui värskendus on oluline, käsitatakse muudetud toodet turule uuesti lastuna ning mõjutatud osade jaoks on nõutav uus vastavushindamine. Art. 3(30) The Komisjoni suunised sätestab kriteeriumi.