Dažnai užduodami klausimai

Klasifikacija nustatoma pagal pagrindinę produkto funkciją, o ne pagal kiekvieną jo turimą savybę. Jei pagrindinė funkcija atitinka III priede įvardytą kategoriją, produktas yra „svarbus“ (I arba II klasės); jei atitinka IV priedą – „ypatingos svarbos“; kitu atveju – „numatytasis“. Tokia funkcija kaip tapatybės valdymas ar VPN, įtraukta tik kaip savybė, nepadaro produkto „svarbiu“, nebent tai yra jo pagrindinė paskirtis. Kai gali būti taikoma daugiau nei viena kategorija, taikoma griežtesnė klasė. Art. 7

Nekomercinė atvirojo kodo programinė įranga, kuriama ne vykdant komercinę veiklą, daugiausia nepatenka į taikymo sritį. Atvirojo kodo programinės įrangos prižiūrėtojai turi lengvesnį, pritaikytą prievolių rinkinį. Atvirojo kodo komponentai, tiekiami vykdant komercinę veiklą, gali patekti į taikymo sritį.

Savarankiškos paslaugos paprastai nepatenka į CRA taikymo sritį. Tačiau nuotolinio duomenų tvarkymo sprendimai, būtini produktui jo funkcijoms atlikti, laikomi to produkto dalimi ir patenka į taikymo sritį. Nepatekimas į CRA taikymo sritį nereiškia, kad veikla nereguliuojama: žiniatinklio ir debesijos paslaugoms gali būti taikomos kitos ES taisyklės, visų pirma NIS2 (Directive (EU) 2022/2555) vidutiniams ir dideliems subjektams apimamuose sektoriuose, o asmens duomenims GDPR. Art. 3(2)

Taip. CRA taikomas ES rinkai pateiktiems produktams, nepriklausomai nuo to, kur įsisteigęs gamintojas. Ne ES gamintojai privalo užtikrinti, kad už atitinkamas prievoles būtų atsakingas Sąjungoje įsisteigęs ekonominės veiklos vykdytojas.

Jie skirstomi į dvi I priedo dalis: saugumo savybes, kurias turi turėti produktas (saugumas pagal numatytąsias nuostatas, konfidencialumas, vientisumas, prieinamumas, minimizuotas atakų paviršius, saugumo atnaujinimai), ir pažeidžiamumų valdymo procesus, kuriuos turi vykdyti gamintojas (SBOM, taisymas, koordinuotas atskleidimas). I priedas

Taip. Gamintojai privalo nustatyti ir dokumentuoti produkte esančius komponentus, be kita ko, parengdami programinės įrangos medžiagų sąrašą plačiai naudojamu, mašininiu būdu nuskaitomu formatu. I priedas · II(1)

Paramos laikotarpis yra laikas, per kurį gamintojas privalo teikti saugumo atnaujinimus. Jis turi atspindėti laikotarpį, kurį produktas pagrįstai numatomas naudoti: pagal numatytąją reikšmę penkeri metai, trumpiau, jei numatoma naudojimo trukmė trumpesnė, ir ilgiau, jei ji ilgesnė. Art. 13(8)

Apie aktyviai išnaudojamus pažeidžiamumus ir didelius incidentus, paveikiančius produkto saugumą, turi būti pranešta ENISA ir atitinkamam CSIRT. Išankstinis įspėjimas pateikiamas per 24 valandas nuo sužinojimo, po jo – išsamesnis pranešimas ir galutinė ataskaita. Art. 14

Aktas įsigaliojo 2024 m. gruodžio 10 d. Pranešimo prievolės taikomos nuo 2026 m. rugsėjo (po 21 mėnesio), o dauguma prievolių taikomos nuo 2027 m. gruodžio (po 36 mėnesių). Art. 71

Už esminių reikalavimų ar gamintojo prievolių pažeidimus gali būti skiriamos baudos iki 15 mln. € arba 2,5 % visos pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė. Kitiems pažeidimams ir neteisingos informacijos pateikimui taikomos mažesnės ribos.

Taip, nuo 2026 m. rugsėjo 11 d., t. y. nuo tos dienos, kai prasidėjo pati 14 straipsnio pareiga. Platforma veikia adresu portal.cra-srp.enisa.europa.eu; pasirenkate įgaliotojo atstovo vaidmenį ir prisijungiate su EU Login paskyra, kurioje įjungtas daugiafaktoris tapatybės nustatymas. ENISA šį adresą paskelbė savo SRP DUK 2026 m. rugsėjo 10 d., kartu su įgaliotojo atstovo naudotojo vadovu ir platformos naudojimo sąlygomis. Keturių dalykų kartu nepateikta: savanoriško pranešimo pagal 15 straipsnį, pranešimų API, laukelio, skirto aktyviai išnaudojamų pažeidžiamumų žinojimui nurodyti, ir 72 valandų skaitiklio, kuris skaičiuoja nuo sužinojimo momento, o ne nuo ankstyvojo įspėjimo pateikimo, todėl ekrane rodomas laikrodis gali rodyti, kad pateikimas pavėluotas, dar nepasibaigus teisiniam terminui. Kol kas platforma veikia tik anglų kalba. Žr. pranešimų teikimo gidas. Art. 14 · 16

Komisijos standartizacijos prašymą M/606 CEN, CENELEC ir ETSI priėmė 2025 m.; jis apima apie 41 standartą (horizontaliuosius ir susijusius su konkrečiais produktais). Po Komisijos 2026 m. liepos mėn. pakeitimo projekto dėl M/606, kuriuo 2026 m. terminai nukelti dviem mėnesiais, dviejų pagrindinių horizontaliųjų standartų (saugaus kūrimo ir pažeidžiamumų valdymo) dabar tikimasi iki 2026 m. spalio 31 d., vertikalių produktų standartų – iki 2026 m. gruodžio 31 d., o likusių horizontaliųjų standartų – iki 2027 m. spalio 30 d., prieš visapusišką taikymą 2027 m. gruodžio mėn. Cituojamo darniojo standarto laikymasis suteikia atitikties prezumpciją. I priedas

Atlikite savo produkto klasei taikytiną atitikties vertinimo procedūrą, parenkite techninę dokumentaciją, surašykite ir pasirašykite ES atitikties deklaraciją, o tada pažymėkite CE ženklu. Numatytuosius produktus galima vertinti savarankiškai; svarbiems ir ypatingos svarbos produktams taikomos griežtesnės procedūros. Art. 28 · 32

Pradėkite nuo CRA greitosios patikros, kad patvirtintumėte taikymo sritį ir klasę, vadovaukitės jūsų vaidmeniui parengtu vadovu ir naudokite atitikties matricą esminiams reikalavimams iki galo įgyvendinti.

14 straipsnio pranešimų teikimo prievolės tampa privalomos. Nuo tos datos gamintojai privalo per vieną pranešimų pateikimo platformą pranešti ENISA ir atitinkamam CSIRT apie aktyviai išnaudojamus pažeidžiamumus ir sunkius incidentus. Tai ankstyviausia iš pagrindinių CRA prievolių, įsigaliojančių gerokai anksčiau nei visiškas taikymas 2027 m. gruodžio 11 d. Žr. pranešimų teikimo gidas. Art. 14 · 71

Ne. Tik aktyviai išnaudojami pažeidžiamumai ir sunkūs incidentai darančius poveikį jūsų produkto saugumui, reikia pranešti pagal 14 straipsnį. Pažeidžiamumai, kuriuos aptinkate ir pašalinate prieš jų išnaudojimą, tvarkomi per jūsų įprastą pažeidžiamumų tvarkymo procesą, o ne pranešimų kanalu. The pranešimų teikimo gidas nustato patikrinimą ir terminus. Art. 14

Per ENISA viena pranešimų pateikimo platforma, veikiančią nuo 2026 m. rugsėjo 11 d. adresu portal.cra-srp.enisa.europa.eu, kuri nukreipia jūsų pranešimą ENISA ir atitinkamam nacionaliniam CSIRT. Ankstyvąjį įspėjimą siunčiate per 24 valandas nuo tada, kai sužinojote, išsamesnį pranešimą per 72 valandas, o galutinę ataskaitą per 14 dienų nuo tada, kai pažeidžiamumui pašalinti galima taikyti taisomąją priemonę, arba per vieną mėnesį nuo 72 valandų pranešimo, jei tai sunkus incidentas. Prisijungiama per EU Login su daugiafaktoriu tapatybės nustatymu. Žr. nuoseklią pranešimų teikimo gidas. Art. 14 · 16

Paprastai ne, vien dėl to. Komisijos gairės paaiškina, kad programinė įranga, vykdoma naudotojo įrenginyje (atsisiųsta programa, naršyklės plėtinys, vietoje įdiegtas klientas), yra produktas su skaitmeniniais elementais, o žiniatinklio programa, naudojama tik per naršyklę, arba svetainė, kuri tik pateikia informaciją, tokiu produktu nėra. Nuotolinė paslauga patenka į taikymo sritį tik tada, kai tai yra nuotolinis duomenų tvarkymas, būtinas produktui jo funkcijoms atlikti. Nepatekimas į CRA taikymo sritį nereiškia, kad veikla nereguliuojama: tik žiniatinklyje teikiama paslauga vis tiek gali patekti į NIS2 (vidutinių ir didelių paslaugų teikėjų atveju) ir GDPR taikymo sritį. Art. 3 Žr. Komisijos gairių apžvalga.

Tai gali pakeisti atsakymą, nes CRA reguliuoja produktus, o ne paslaugas. Tas pats kodas, supakuotas kaip įdiegiama programa (įskaitant Capacitor, Electron ar panašią versiją), vykdomas naudotojo įrenginyje ir yra produktas su skaitmeniniais elementais, todėl CRA taikomas. Jei pateikiamas tik kaip progresyvioji žiniatinklio programa naršyklėje, tai yra žiniatinklio paslauga ir paprastai nepatenka į CRA kaip produktas; užnugario sistema, su kuria ji keičiasi duomenimis, patenka tik tada, kai tai yra nuotolinis duomenų tvarkymas, kurio produktui reikia savo funkcijoms atlikti. Du perspėjimai: tik žiniatinklyje teikiama paslauga nėra nereguliuojama (NIS2 gali būti taikoma vidutiniams ir dideliems paslaugų teikėjams, o GDPR asmens duomenims), o riba tarp produkto ir paslaugos gali būti neaiški, todėl sprendimą „pateikti PWA“ reikėtų vertinti kaip architektūrinį sprendimą, o ne kaip garantuotą išimtį. Art. 3 Žr. Komisijos gairių apžvalga.

Tik kai atnaujinimas yra esminis modifikavimas: pakeitimas, kuris pakeičia gaminio kibernetinio saugumo riziką taip, kaip jūsų rizikos vertinimas dar neapėmė. Įprasti saugumo atnaujinimai paprastai nelaikomi esminiais pakeitimais. Kai atnaujinimas yra esminis, pakeistas gaminys laikomas iš naujo pateiktu rinkai, ir paveiktoms dalims reikalingas naujas atitikties vertinimas. Art. 3(30) The Komisijos gairės nustato kriterijų.