Gyakran ismételt kérdések

Az osztályozás a termék alapvető funkcióját követi, nem pedig minden olyan jellemzőt, amelyet tartalmaz. Ha az alapvető funkció megfelel a III. mellékletben megnevezett kategóriának, a termék „fontos” (I. vagy II. osztály); ha a IV. mellékletnek felel meg, akkor „kritikus”; egyébként „alapértelmezett”. Egy olyan képesség, mint az identitáskezelés vagy egy VPN, amely csak egy jellemzőként szerepel, nem teszi a terméket „fontossá”, kivéve, ha ez az alapvető célja. Ha több kategória is alkalmazható lenne, a szigorúbb osztály érvényesül. 7. cikk

A kereskedelmi tevékenységen kívül fejlesztett, nem kereskedelmi nyílt forráskódú szoftver nagyrészt kívül esik a hatályon. A nyílt forráskódú szoftvergondnokokat könnyített, testreszabott kötelezettségek terhelik. A kereskedelmi tevékenység keretében szállított nyílt forráskódú összetevők a hatály alá tartozhatnak.

Az önálló szolgáltatások általában kívül esnek a CRA hatályán. Azok a távoli adatfeldolgozási megoldások azonban, amelyek egy termék funkcióinak ellátásához szükségesek, a termék részének minősülnek, és a hatály alá tartoznak. A CRA hatályán kívül lenni nem jelenti azt, hogy valami szabályozatlan: a webes és felhőszolgáltatásokra más uniós szabályok is vonatkozhatnak, különösen a NIS2 (Directive (EU) 2022/2555) a szabályozott ágazatokban működő közép- és nagyvállalatok esetében, valamint a GDPR a személyes adatok tekintetében. 3. cikk (2) bek.

Igen. A CRA az uniós piacon forgalomba hozott termékekre vonatkozik, függetlenül attól, hol telepedett le a gyártó. Az EU-n kívüli gyártóknak biztosítaniuk kell, hogy egy az Unióban letelepedett gazdasági szereplő legyen felelős a vonatkozó kötelezettségekért.

Az I. melléklet két részébe sorolhatók: biztonsági tulajdonságok, amelyekkel a terméknek rendelkeznie kell (alapértelmezetten biztonságos, bizalmasság, sértetlenség, rendelkezésre állás, minimalizált támadási felület, biztonsági frissítések), és sebezhetőségkezelési folyamatok, amelyeket a gyártónak működtetnie kell (SBOM, orvoslás, összehangolt közzététel). I. melléklet

Igen. A gyártóknak azonosítaniuk és dokumentálniuk kell a termékben található összetevőket, többek között egy általánosan használt, géppel olvasható formátumú szoftvertermék-jegyzék elkészítésével. I. melléklet · II(1)

A támogatási időszak az az idő, amely alatt a gyártónak biztonsági frissítéseket kell biztosítania. Tükröznie kell azt az időtartamot, ameddig a termék használata észszerűen várható: alapértelmezés szerint öt év, rövidebb, ha a várható használat rövidebb, és hosszabb, ha az hosszabb. 13. cikk (8) bek.

Az aktívan kihasznált sebezhetőségeket és a termék biztonságát érintő súlyos incidenseket be kell jelenteni az ENISA-nak és az illetékes CSIRT-nek. A korai előrejelzést a tudomásszerzéstől számított 24 órán belül kell megtenni, amelyet egy részletesebb értesítés és egy végleges jelentés követ. 14. cikk

A rendelet 2024. december 10-én lépett hatályba. A jelentéstételi kötelezettségek 2026 szeptemberétől (21 hónappal később) alkalmazandók, a kötelezettségek nagy része pedig 2027 decemberétől (36 hónappal később). 71. cikk

Az alapvető követelmények vagy a gyártói kötelezettségek megsértése legfeljebb 15 millió € összegű vagy a teljes éves világméretű árbevétel 2,5%-ának megfelelő bírságot vonhat maga után, a kettő közül a magasabb értéket figyelembe véve. Egyéb jogsértésekre és a helytelen információk szolgáltatására alacsonyabb felső határok vonatkoznak.

Igen, 2026. szeptember 11. óta, azon a napon, amikor maga a 14. cikk szerinti kötelezettség hatályba lépett. A platform a portal.cra-srp.enisa.europa.eu címen működik; a Megbízott képviselő (Assigned Representative) szerepet kell kiválasztania, és olyan EU Login fiókkal kell bejelentkeznie, amelyen a többfaktoros hitelesítés engedélyezve van. Az ENISA a címet 2026. szeptember 10-én tette közzé az SRP GYIK-ben, az AR felhasználói kézikönyv és a platform általános szerződési feltételei mellett. Négy dolog nem érkezett meg vele együtt: az Art. 15 szerinti önkéntes bejelentés, a bejelentési API, az aktívan kihasznált sebezhetőségekre vonatkozó tudatossági mező, valamint egy olyan 72 órás számláló, amely a tudomásszerzéstől és nem a korai figyelmeztetés benyújtásától méri az időt, ami azt jelenti, hogy a képernyőn látható óra egy bejelentést késettnek mutathat, mielőtt a jogi határidő letelt volna. A platform egyelőre kizárólag angol nyelven működik. Lásd a bejelentési útmutató. 14. cikk · 16. cikk

A Bizottság M/606 szabványosítási kérelmét a CEN, a CENELEC és az ETSI 2025-ben fogadta el, amely mintegy 41 szabványra terjed ki (horizontális és termékspecifikus). A Bizottság M/606-ra vonatkozó, 2026. júliusi módosítási javaslatát követően, amely két hónappal elhalasztotta a 2026-os határidőket, a két alapvető horizontális szabvány (biztonságos fejlesztés és sebezhetőségkezelés) várhatóan 2026. október 31-ig, a vertikális termékszabványok 2026. december 31-ig, a fennmaradó horizontális szabványok pedig 2027. október 30-ig készülnek el, a 2027. decemberi teljes körű alkalmazás előtt. Egy hivatkozott harmonizált szabvány követése megfelelőségi vélelmet keletkeztet. I. melléklet

Hajtsa végre a termékosztályához tartozó megfelelőségértékelési útvonalat, állítsa össze a műszaki dokumentációt, készítse el és írja alá az EU-megfelelőségi nyilatkozatot, majd helyezze el a CE-jelölést. Az alapértelmezett termékek önértékelést végezhetnek; a fontos és kritikus termékek szigorúbb útvonalakat igényelnek. 28. cikk · 32. cikk

Kezdje a CRA gyorsellenőrzéssel a hatály és az osztály megerősítéséhez, kövesse a szerepköréhez írt útmutatót, és használja a megfelelőségi mátrixot az alapvető követelmények teljesítésének nyomon követésére.

A 14. cikk szerinti bejelentési kötelezettségek végrehajthatóvá válnak. Ettől az időponttól a gyártóknak az aktívan kihasznált sebezhetőségeket és a súlyos incidenseket az ENISA-nak és az illetékes CSIRT-nek kell bejelenteniük az egységes bejelentési platformon keresztül. Ez a CRA legkorábbi hatályba lépő fő kötelezettsége, jóval a 2027. december 11-i teljes alkalmazás előtt. Lásd a bejelentési útmutató. 14. cikk · 71. cikk

Nem. Csak aktívan kihasznált sebezhetőségek és súlyos incidensek a termék biztonságát érintők a 14. cikk alapján bejelentendők. A kihasználás előtt feltárt és kijavított sebezhetőségeket a szokásos sebezhetőség-kezelési folyamaton keresztül kezelik, nem a bejelentési csatornán. A bejelentési útmutató meghatározza az ellenőrzést és a határidőket. 14. cikk

Az ENISA egységes bejelentési platformján keresztül, amely 2026. szeptember 11. óta működik a portal.cra-srp.enisa.europa.eu címen, és a bejelentést az ENISA-hoz és az illetékes nemzeti CSIRT-hez irányítja. A tudomásszerzéstől számított 24 órán belül korai figyelmeztetést, 72 órán belül részletesebb bejelentést, a sebezhetőség esetén a javító intézkedés elérhetővé válásától számított 14 napon belül, súlyos incidens esetén pedig a 72 órás bejelentéstől számított egy hónapon belül zárójelentést kell küldenie. A bejelentkezés EU Login fiókkal, többfaktoros hitelesítéssel történik. Lásd a lépésenkénti bejelentési útmutató. 14. cikk · 16. cikk

Önmagában általában nem. A Bizottsági iránymutatás tisztázza, hogy a felhasználó eszközén futó szoftver (letöltött alkalmazás, böngészőbővítmény, helyileg telepített kliens) digitális elemeket tartalmazó termék, míg a kizárólag böngészőn keresztül használt webalkalmazás, illetve a pusztán információt megjelenítő weboldal nem az. A távoli szolgáltatás csak akkor tartozik a hatály alá, ha olyan távoli adatfeldolgozásról van szó, amely egy termék funkcióinak ellátásához szükséges. A CRA hatályán kívül lenni nem jelenti azt, hogy valami szabályozatlan: a kizárólag webes szolgáltatásra is vonatkozhat a NIS2 (közép- és nagyvállalati szolgáltatók esetében) és a GDPR. Art. 3 Lásd a A Bizottsági iránymutatás áttekintése.

Megváltoztathatja a választ, mert a CRA termékeket szabályoz, nem szolgáltatásokat. Ugyanaz a kód, ha telepíthető alkalmazásként csomagolják (beleértve a Capacitor, Electron vagy hasonló buildet), a felhasználó eszközén fut, és digitális elemeket tartalmazó terméknek minősül, így a CRA alkalmazandó. Ha kizárólag progresszív webalkalmazásként érhető el a böngészőben, webes szolgáltatásnak minősül, és termékként általában kívül esik a CRA hatályán; a háttérrendszer, amellyel kommunikál, csak akkor tartozik a hatály alá, ha olyan távoli adatfeldolgozásról van szó, amely egy termék funkcióinak ellátásához szükséges. Két figyelmeztetés: a kizárólag webes szolgáltatás nem szabályozatlan (a NIS2 vonatkozhat a közép- és nagyvállalati szolgáltatókra, a GDPR pedig a személyes adatokra), továbbá a termék és a szolgáltatás közötti határ elmosódhat, ezért a „PWA-ként szállítás” megoldást építészeti döntésként kezelje, ne garantált mentességként. Art. 3 Lásd a A Bizottsági iránymutatás áttekintése.

Csak akkor, ha a frissítés lényeges módosítás: olyan változás, amely a termék kiberbiztonsági kockázatát a kockázatértékelés által még nem lefedett módon módosítja. A szokásos biztonsági frissítések általában nem minősülnek lényeges módosításnak. Ha egy frissítés lényeges, a módosított terméket újonnan forgalomba hozottnak kell tekinteni, és az érintett részek esetében új megfelelőségértékelés szükséges. Art. 3(30) A Bizottsági iránymutatás meghatározza a vizsgálatot.