Gyakran ismételt kérdések

Az osztályozás a termék alapvető funkcióját követi, nem pedig minden olyan jellemzőt, amelyet tartalmaz. Ha az alapvető funkció megfelel a III. mellékletben megnevezett kategóriának, a termék „fontos” (I. vagy II. osztály); ha a IV. mellékletnek felel meg, akkor „kritikus”; egyébként „alapértelmezett”. Egy olyan képesség, mint az identitáskezelés vagy egy VPN, amely csak egy jellemzőként szerepel, nem teszi a terméket „fontossá”, kivéve, ha ez az alapvető célja. Ha több kategória is alkalmazható lenne, a szigorúbb osztály érvényesül. 7. cikk

A kereskedelmi tevékenységen kívül fejlesztett, nem kereskedelmi nyílt forráskódú szoftver nagyrészt kívül esik a hatályon. A nyílt forráskódú szoftvergondnokokat könnyített, testreszabott kötelezettségek terhelik. A kereskedelmi tevékenység keretében szállított nyílt forráskódú összetevők a hatály alá tartozhatnak.

Az önálló szolgáltatások általában a CRA hatályán kívül esnek. Azonban a termék funkcióinak ellátásához szükséges távoli adatfeldolgozási megoldások az adott termék részeként kezelendők, és a hatály alá tartoznak. 3. cikk (2) bek.

Igen. A CRA az uniós piacon forgalomba hozott termékekre vonatkozik, függetlenül attól, hol telepedett le a gyártó. Az EU-n kívüli gyártóknak biztosítaniuk kell, hogy egy az Unióban letelepedett gazdasági szereplő legyen felelős a vonatkozó kötelezettségekért.

Az I. melléklet két részébe sorolhatók: biztonsági tulajdonságok, amelyekkel a terméknek rendelkeznie kell (alapértelmezetten biztonságos, bizalmasság, sértetlenség, rendelkezésre állás, minimalizált támadási felület, biztonsági frissítések), és sebezhetőségkezelési folyamatok, amelyeket a gyártónak működtetnie kell (SBOM, orvoslás, összehangolt közzététel). I. melléklet

Igen. A gyártóknak azonosítaniuk és dokumentálniuk kell a termékben található összetevőket, többek között egy általánosan használt, géppel olvasható formátumú szoftvertermék-jegyzék elkészítésével. I. melléklet · II(1)

A támogatási időszak az az idő, amely alatt a gyártónak biztonsági frissítéseket kell biztosítania. Tükröznie kell azt az időtartamot, ameddig a termék használata észszerűen várható: alapértelmezés szerint öt év, rövidebb, ha a várható használat rövidebb, és hosszabb, ha az hosszabb. 13. cikk (8) bek.

Az aktívan kihasznált sebezhetőségeket és a termék biztonságát érintő súlyos incidenseket be kell jelenteni az ENISA-nak és az illetékes CSIRT-nek. A korai előrejelzést a tudomásszerzéstől számított 24 órán belül kell megtenni, amelyet egy részletesebb értesítés és egy végleges jelentés követ. 14. cikk

A rendelet 2024. december 10-én lépett hatályba. A jelentéstételi kötelezettségek 2026 szeptemberétől (21 hónappal később) alkalmazandók, a kötelezettségek nagy része pedig 2027 decemberétől (36 hónappal később). 71. cikk

Az alapvető követelmények vagy a gyártói kötelezettségek megsértése legfeljebb 15 millió € összegű vagy a teljes éves világméretű árbevétel 2,5%-ának megfelelő bírságot vonhat maga után, a kettő közül a magasabb értéket figyelembe véve. Egyéb jogsértésekre és a helytelen információk szolgáltatására alacsonyabb felső határok vonatkoznak.

Yes, since 11 September 2026, the day the Article 14 duty itself began. The platform is live at portal.cra-srp.enisa.europa.eu; you select the Assigned Representative role and sign in with an EU Login account that has multi-factor authentication enabled. ENISA published the address in its SRP FAQ on 10 September 2026, alongside an AR User Manual and platform terms and conditions. Four things did not arrive with it: voluntary reporting under Article 15, a reporting API, an awareness field for actively exploited vulnerabilities, and a 72-hour counter that measures from awareness rather than from submission of your early warning, which means the on-screen clock can show a filing as overdue before the legal deadline has passed. The platform runs in English only for now. See the bejelentési útmutató. 14. cikk · 16. cikk

A Bizottság M/606 szabványosítási kérelmét a CEN, a CENELEC és az ETSI 2025-ben fogadta el, amely mintegy 41 szabványra terjed ki (horizontális és termékspecifikus). A Bizottság M/606-ra vonatkozó, 2026. júliusi módosítási javaslatát követően, amely két hónappal elhalasztotta a 2026-os határidőket, a két alapvető horizontális szabvány (biztonságos fejlesztés és sebezhetőségkezelés) várhatóan 2026. október 31-ig, a vertikális termékszabványok 2026. december 31-ig, a fennmaradó horizontális szabványok pedig 2027. október 30-ig készülnek el, a 2027. decemberi teljes körű alkalmazás előtt. Egy hivatkozott harmonizált szabvány követése megfelelőségi vélelmet keletkeztet. I. melléklet

Hajtsa végre a termékosztályához tartozó megfelelőségértékelési útvonalat, állítsa össze a műszaki dokumentációt, készítse el és írja alá az EU-megfelelőségi nyilatkozatot, majd helyezze el a CE-jelölést. Az alapértelmezett termékek önértékelést végezhetnek; a fontos és kritikus termékek szigorúbb útvonalakat igényelnek. 28. cikk · 32. cikk

Kezdje a CRA gyorsellenőrzéssel a hatály és az osztály megerősítéséhez, kövesse a szerepköréhez írt útmutatót, és használja a megfelelőségi mátrixot az alapvető követelmények teljesítésének nyomon követésére.

A 14. cikk szerinti bejelentési kötelezettségek végrehajthatóvá válnak. Ettől az időponttól a gyártóknak az aktívan kihasznált sebezhetőségeket és a súlyos incidenseket az ENISA-nak és az illetékes CSIRT-nek kell bejelenteniük az egységes bejelentési platformon keresztül. Ez a CRA legkorábbi hatályba lépő fő kötelezettsége, jóval a 2027. december 11-i teljes alkalmazás előtt. Lásd a bejelentési útmutató. 14. cikk · 71. cikk

Nem. Csak aktívan kihasznált sebezhetőségek és súlyos incidensek a termék biztonságát érintők a 14. cikk alapján bejelentendők. A kihasználás előtt feltárt és kijavított sebezhetőségeket a szokásos sebezhetőség-kezelési folyamaton keresztül kezelik, nem a bejelentési csatornán. A bejelentési útmutató meghatározza az ellenőrzést és a határidőket. 14. cikk

Through ENISA's single reporting platform, live since 11 September 2026 at portal.cra-srp.enisa.europa.eu, which routes your notification to ENISA and the relevant national CSIRT. You send an early warning within 24 hours of becoming aware, a fuller notification within 72 hours, and a final report within 14 days of a corrective measure being available for a vulnerability, or within one month of the 72-hour notification for a severe incident. Sign-in is through EU Login with multi-factor authentication. See the step-by-step bejelentési útmutató. 14. cikk · 16. cikk

Önmagában általában nem. A Bizottsági iránymutatás egyértelművé teszi, hogy a felhasználó eszközén futó szoftver (letöltött alkalmazás, böngészőbővítmény, helyileg telepített kliens) digitális elemeket tartalmazó terméknek minősül, míg a kizárólag böngészőn keresztül használt webalkalmazás vagy a pusztán információt megjelenítő weboldal nem. Egy távoli szolgáltatás csak akkor tartozik a hatály alá, ha olyan távoli adatfeldolgozásról van szó, amely a termék funkcióinak ellátásához szükséges. Art. 3 Lásd a A Bizottsági iránymutatás áttekintése.

Csak akkor, ha a frissítés lényeges módosítás: olyan változás, amely a termék kiberbiztonsági kockázatát a kockázatértékelés által még nem lefedett módon módosítja. A szokásos biztonsági frissítések általában nem minősülnek lényeges módosításnak. Ha egy frissítés lényeges, a módosított terméket újonnan forgalomba hozottnak kell tekinteni, és az érintett részek esetében új megfelelőségértékelés szükséges. Art. 3(30) A Bizottsági iránymutatás meghatározza a vizsgálatot.