Dažnai užduodami klausimai

Klasifikacija nustatoma pagal pagrindinę produkto funkciją, o ne pagal kiekvieną jo turimą savybę. Jei pagrindinė funkcija atitinka III priede įvardytą kategoriją, produktas yra „svarbus“ (I arba II klasės); jei atitinka IV priedą – „ypatingos svarbos“; kitu atveju – „numatytasis“. Tokia funkcija kaip tapatybės valdymas ar VPN, įtraukta tik kaip savybė, nepadaro produkto „svarbiu“, nebent tai yra jo pagrindinė paskirtis. Kai gali būti taikoma daugiau nei viena kategorija, taikoma griežtesnė klasė. Art. 7

Nekomercinė atvirojo kodo programinė įranga, kuriama ne vykdant komercinę veiklą, daugiausia nepatenka į taikymo sritį. Atvirojo kodo programinės įrangos prižiūrėtojai turi lengvesnį, pritaikytą prievolių rinkinį. Atvirojo kodo komponentai, tiekiami vykdant komercinę veiklą, gali patekti į taikymo sritį.

Savarankiškos paslaugos paprastai nepatenka į CRA taikymo sritį. Tačiau nuotolinio duomenų tvarkymo sprendimai, būtini produkto funkcijoms atlikti, laikomi to produkto dalimi ir patenka į taikymo sritį. Art. 3(2)

Taip. CRA taikomas ES rinkai pateiktiems produktams, nepriklausomai nuo to, kur įsisteigęs gamintojas. Ne ES gamintojai privalo užtikrinti, kad už atitinkamas prievoles būtų atsakingas Sąjungoje įsisteigęs ekonominės veiklos vykdytojas.

Jie skirstomi į dvi I priedo dalis: saugumo savybes, kurias turi turėti produktas (saugumas pagal numatytąsias nuostatas, konfidencialumas, vientisumas, prieinamumas, minimizuotas atakų paviršius, saugumo atnaujinimai), ir pažeidžiamumų valdymo procesus, kuriuos turi vykdyti gamintojas (SBOM, taisymas, koordinuotas atskleidimas). I priedas

Taip. Gamintojai privalo nustatyti ir dokumentuoti produkte esančius komponentus, be kita ko, parengdami programinės įrangos medžiagų sąrašą plačiai naudojamu, mašininiu būdu nuskaitomu formatu. I priedas · II(1)

Paramos laikotarpis yra laikas, per kurį gamintojas privalo teikti saugumo atnaujinimus. Jis turi atspindėti laikotarpį, kurį produktas pagrįstai numatomas naudoti: pagal numatytąją reikšmę penkeri metai, trumpiau, jei numatoma naudojimo trukmė trumpesnė, ir ilgiau, jei ji ilgesnė. Art. 13(8)

Apie aktyviai išnaudojamus pažeidžiamumus ir didelius incidentus, paveikiančius produkto saugumą, turi būti pranešta ENISA ir atitinkamam CSIRT. Išankstinis įspėjimas pateikiamas per 24 valandas nuo sužinojimo, po jo – išsamesnis pranešimas ir galutinė ataskaita. Art. 14

Aktas įsigaliojo 2024 m. gruodžio 10 d. Pranešimo prievolės taikomos nuo 2026 m. rugsėjo (po 21 mėnesio), o dauguma prievolių taikomos nuo 2027 m. gruodžio (po 36 mėnesių). Art. 71

Už esminių reikalavimų ar gamintojo prievolių pažeidimus gali būti skiriamos baudos iki 15 mln. € arba 2,5 % visos pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Kitiems pažeidimams ir neteisingos informacijos pateikimui taikomos mažesnės ribos.

Not as of 13 August 2026. The platform is not live and its public URL has not been published; ENISA will announce it on its Single Reporting Platform page before go-live, and has scheduled it to be operational by 11 September 2026 with user and security testing beforehand. ENISA has published a factsheet, an FAQ and step-by-step registration and submission guidance, all last updated 3 August 2026. You can create the EU Login account the platform uses today. Note too that the harmonised standards underpinning vulnerability handling are expected around 30 August 2026 and none has yet been cited in the Official Journal; so build your internal process now rather than waiting for the final mechanics. See the pranešimų teikimo gidas. Art. 14 · 16

Komisijos standartizacijos prašymą M/606 CEN, CENELEC ir ETSI priėmė 2025 m.; jis apima apie 41 standartą (horizontaliuosius ir susijusius su konkrečiais produktais). Du pagrindiniai horizontalieji standartai (saugus kūrimas ir pažeidžiamumų valdymas) tikimasi iki 2026 m. rugpjūčio 30 d., vertikalūs produktų standartai – iki 2026 m. spalio 30 d., o likę horizontalieji standartai – iki 2027 m. spalio 30 d., prieš visapusišką taikymą 2027 m. gruodžio mėn. Cituojamo darniojo standarto laikymasis suteikia atitikties prezumpciją. I priedas

Atlikite savo produkto klasei taikytiną atitikties vertinimo procedūrą, parenkite techninę dokumentaciją, surašykite ir pasirašykite ES atitikties deklaraciją, o tada pažymėkite CE ženklu. Numatytuosius produktus galima vertinti savarankiškai; svarbiems ir ypatingos svarbos produktams taikomos griežtesnės procedūros. Art. 28 · 32

Pradėkite nuo CRA greitosios patikros, kad patvirtintumėte taikymo sritį ir klasę, vadovaukitės jūsų vaidmeniui parengtu vadovu ir naudokite atitikties matricą esminiams reikalavimams iki galo įgyvendinti.

14 straipsnio pranešimų teikimo prievolės tampa privalomos. Nuo tos datos gamintojai privalo per vieną pranešimų pateikimo platformą pranešti ENISA ir atitinkamam CSIRT apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus. Tai ankstyviausia iš pagrindinių CRA prievolių, įsigaliojančių gerokai anksčiau nei visiškas taikymas 2027 m. gruodžio 11 d. Žr. pranešimų teikimo gidas. Art. 14 · 71

Ne. Tik aktyviai išnaudojami pažeidžiamumai ir sunkūs incidentai darančius poveikį jūsų produkto saugumui, reikia pranešti pagal 14 straipsnį. Pažeidžiamumai, kuriuos aptinkate ir pašalinate prieš jų išnaudojimą, tvarkomi per jūsų įprastą pažeidžiamumų tvarkymo procesą, o ne pranešimų kanalu. The pranešimų teikimo gidas nustato patikrinimą ir terminus. Art. 14

Per ENISA vienintelę pranešimų pateikimo platformą, kuri nukreipia jūsų pranešimą ENISA ir atitinkamam nacionaliniam CSIRT. Išankstinį įspėjimą siunčiate per 24 valandas nuo sužinojimo, išsamesnį pranešimą – per 72 valandas, o galutinę ataskaitą – per 14 dienų nuo korekcinės priemonės prieinamumo. Žr. nuoseklų pranešimų teikimo gidas. Art. 14 · 16

Paprastai savaime ne. Komisijos gairės paaiškina, kad programinė įranga, veikianti naudotojo įrenginyje (atsisiųsta programėlė, naršyklės plėtinys, lokaliai įdiegtas klientas), yra gaminys su skaitmeniniais elementais, o interneto programa, naudojama tik per naršyklę, ar svetainė, kuri tik pateikia informaciją, tokia nėra. Nuotolinė paslauga patenka į taikymo sritį tik tuomet, kai tai yra nuotolinis duomenų apdorojimas, būtinas gaminio funkcijoms atlikti. Art. 3 Žr. Komisijos gairių apžvalga.

Tik kai atnaujinimas yra esminis modifikavimas: pakeitimas, kuris pakeičia gaminio kibernetinio saugumo riziką taip, kaip jūsų rizikos vertinimas dar neapėmė. Įprasti saugumo atnaujinimai paprastai nelaikomi esminiais pakeitimais. Kai atnaujinimas yra esminis, pakeistas gaminys laikomas iš naujo pateiktu rinkai, ir paveiktoms dalims reikalingas naujas atitikties vertinimas. Art. 3(30) The Komisijos gairės nustato kriterijų.