Gyakran ismételt kérdések

Az osztályozás a termék alapvető funkcióját követi, nem pedig minden olyan jellemzőt, amelyet tartalmaz. Ha az alapvető funkció megfelel a III. mellékletben megnevezett kategóriának, a termék „fontos” (I. vagy II. osztály); ha a IV. mellékletnek felel meg, akkor „kritikus”; egyébként „alapértelmezett”. Egy olyan képesség, mint az identitáskezelés vagy egy VPN, amely csak egy jellemzőként szerepel, nem teszi a terméket „fontossá”, kivéve, ha ez az alapvető célja. Ha több kategória is alkalmazható lenne, a szigorúbb osztály érvényesül. 7. cikk

A kereskedelmi tevékenységen kívül fejlesztett, nem kereskedelmi nyílt forráskódú szoftver nagyrészt kívül esik a hatályon. A nyílt forráskódú szoftvergondnokokat könnyített, testreszabott kötelezettségek terhelik. A kereskedelmi tevékenység keretében szállított nyílt forráskódú összetevők a hatály alá tartozhatnak.

Az önálló szolgáltatások általában a CRA hatályán kívül esnek. Azonban a termék funkcióinak ellátásához szükséges távoli adatfeldolgozási megoldások az adott termék részeként kezelendők, és a hatály alá tartoznak. 3. cikk (2) bek.

Igen. A CRA az uniós piacon forgalomba hozott termékekre vonatkozik, függetlenül attól, hol telepedett le a gyártó. Az EU-n kívüli gyártóknak biztosítaniuk kell, hogy egy az Unióban letelepedett gazdasági szereplő legyen felelős a vonatkozó kötelezettségekért.

Az I. melléklet két részébe sorolhatók: biztonsági tulajdonságok, amelyekkel a terméknek rendelkeznie kell (alapértelmezetten biztonságos, bizalmasság, sértetlenség, rendelkezésre állás, minimalizált támadási felület, biztonsági frissítések), és sebezhetőségkezelési folyamatok, amelyeket a gyártónak működtetnie kell (SBOM, orvoslás, összehangolt közzététel). I. melléklet

Igen. A gyártóknak azonosítaniuk és dokumentálniuk kell a termékben található összetevőket, többek között egy általánosan használt, géppel olvasható formátumú szoftvertermék-jegyzék elkészítésével. I. melléklet · II(1)

A támogatási időszak az az idő, amely alatt a gyártónak biztonsági frissítéseket kell biztosítania. Tükröznie kell azt az időtartamot, ameddig a termék használata észszerűen várható; a bizottsági iránymutatás szerint ennek általában legalább öt évnek kell lennie, kivéve, ha a várható használat rövidebb. 13. cikk (8) bek.

Az aktívan kihasznált sebezhetőségeket és a termék biztonságát érintő súlyos incidenseket be kell jelenteni az ENISA-nak és az illetékes CSIRT-nek. A korai előrejelzést a tudomásszerzéstől számított 24 órán belül kell megtenni, amelyet egy részletesebb értesítés és egy végleges jelentés követ. 14. cikk

A rendelet 2024. december 10-én lépett hatályba. A jelentéstételi kötelezettségek 2026 szeptemberétől (21 hónappal később) alkalmazandók, a kötelezettségek nagy része pedig 2027 decemberétől (36 hónappal később). 71. cikk

Az alapvető követelmények vagy a gyártói kötelezettségek megsértése legfeljebb 15 millió € összegű vagy a teljes éves világméretű árbevétel 2,5%-ának megfelelő bírságot vonhat maga után, a kettő közül a magasabb értéket figyelembe véve. Egyéb jogsértésekre és a helytelen információk szolgáltatására alacsonyabb felső határok vonatkoznak.

Még nem, 2026 közepéig. Az ENISA a 16. cikk alapján egységes bejelentési platformot épít, és a felkészülési időszakban regisztrációs és próbaüzemi anyagokat tesz közzé; a cél az, hogy 2026. szeptember 11-re működőképes legyen, előtte tesztelési időszakkal. Fontos megjegyezni, hogy a pontos bejelentési formátumot és eljárást még meghatározhatják bizottsági végrehajtási aktusok, és a sebezhetőség-kezelést alátámasztó harmonizált szabványok várhatóan 2026. augusztus 30. körül jelennek meg; ezért most építse ki a belső folyamatát, ne várja meg a végleges mechanizmust. Lásd a bejelentési útmutató. 14. cikk · 16. cikk

A Bizottság M/606 szabványosítási kérelmét a CEN, a CENELEC és az ETSI 2025-ben fogadta el, amely mintegy 41 szabványra terjed ki (horizontális és termékspecifikus). A két alapvető horizontális szabvány (biztonságos fejlesztés és sebezhetőségkezelés) 2026. augusztus 30-ig, a vertikális termékszabványok 2026. október 30-ig, a fennmaradó horizontális szabványok pedig 2027. október 30-ig várhatók, a 2027. decemberi teljes körű alkalmazás előtt. Egy hivatkozott harmonizált szabvány követése megfelelőségi vélelmet keletkeztet. I. melléklet

Hajtsa végre a termékosztályához tartozó megfelelőségértékelési útvonalat, állítsa össze a műszaki dokumentációt, készítse el és írja alá az EU-megfelelőségi nyilatkozatot, majd helyezze el a CE-jelölést. Az alapértelmezett termékek önértékelést végezhetnek; a fontos és kritikus termékek szigorúbb útvonalakat igényelnek. 28. cikk · 32. cikk

Kezdje a CRA gyorsellenőrzéssel a hatály és az osztály megerősítéséhez, kövesse a szerepköréhez írt útmutatót, és használja a megfelelőségi mátrixot az alapvető követelmények teljesítésének nyomon követésére.

A 14. cikk szerinti bejelentési kötelezettségek végrehajthatóvá válnak. Ettől az időponttól a gyártóknak az aktívan kihasznált sebezhetőségeket és a súlyos incidenseket az ENISA-nak és az illetékes CSIRT-nek kell bejelenteniük az egységes bejelentési platformon keresztül. Ez a CRA legkorábbi hatályba lépő fő kötelezettsége, jóval a 2027. december 11-i teljes alkalmazás előtt. Lásd a bejelentési útmutató. 14. cikk · 71. cikk

Nem. Csak aktívan kihasznált sebezhetőségek és súlyos incidensek a termék biztonságát érintők a 14. cikk alapján bejelentendők. A kihasználás előtt feltárt és kijavított sebezhetőségeket a szokásos sebezhetőség-kezelési folyamaton keresztül kezelik, nem a bejelentési csatornán. A bejelentési útmutató meghatározza az ellenőrzést és a határidőket. 14. cikk

Az ENISA egységes bejelentési platformján keresztül, amely az Ön bejelentését az ENISA-hoz és az illetékes nemzeti CSIRT-hez irányítja. Az észleléstől számított 24 órán belül korai figyelmeztetést, 72 órán belül részletesebb bejelentést, és a korrekciós intézkedés elérhetőségét követő 14 napon belül zárójelentést küld. Lásd a lépésről lépésre bejelentési útmutató. 14. cikk · 16. cikk