Biežāk uzdotie jautājumi

Klasifikācija balstās uz produkta pamatfunkciju, nevis katru tā ietverto funkciju. Ja pamatfunkcija atbilst kategorijai, kas minēta III pielikumā, produkts ir "svarīgs" (I vai II klase); ja tas atbilst IV pielikumam, tas ir "kritisks"; pretējā gadījumā tas ir "noklusējuma". Funkcionalitāte, piemēram, identitātes pārvaldība vai VPN, kas iekļauta tikai kā viena funkcija, nepadara produktu par "svarīgu", ja vien tā nav tā pamatmērķis. Ja varētu attiekties vairāk nekā viena kategorija, piemēro stingrāko klasi. Art. 7

Nekomerciāla atvērtā pirmkoda programmatūra, kas izstrādāta ārpus komerciālas darbības, lielākoties neietilpst darbības jomā. Atvērtā pirmkoda programmatūras pārvaldītājiem ir vieglāks, pielāgots pienākumu kopums. Atvērtā pirmkoda komponenti, kas piegādāti komerciālas darbības ietvaros, var ietilpt darbības jomā.

Atsevišķi pakalpojumi parasti ir ārpus CRA darbības jomas. Tomēr attālinātās datu apstrādes risinājumi, kas nepieciešami, lai produkts veiktu savas funkcijas, tiek uzskatīti par šī produkta daļu un ietilpst darbības jomā. Art. 3(2)

Jā. CRA attiecas uz ES tirgū laistiem produktiem neatkarīgi no tā, kur ražotājs ir reģistrēts. Ražotājiem ārpus ES jānodrošina, ka par attiecīgajiem pienākumiem ir atbildīgs Savienībā reģistrēts ekonomikas dalībnieks.

Tās iedalās divās I pielikuma daļās: drošības īpašības, kas produktam jābūt (droša pēc noklusējuma, konfidencialitāte, integritāte, pieejamība, samazināta uzbrukuma virsma, drošības atjauninājumi), un ievainojamību apstrādes procesi, kas ražotājam jānodrošina (SBOM, novēršana, koordinēta izpaušana). I pielikums

Jā. Ražotājiem jāidentificē un jādokumentē produktā ietilpstošie komponenti, tostarp sagatavojot programmatūras sastāva specifikāciju plaši lietotā, mašīnlasāmā formātā. I pielikums · II(1)

Atbalsta periods ir laiks, kura laikā ražotājam jānodrošina drošības atjauninājumi. Tam jāatspoguļo periods, kurā produktu saprātīgi paredzēts lietot; Komisijas vadlīnijas norāda, ka tam parasti vajadzētu būt vismaz pieciem gadiem, ja vien paredzamais lietošanas laiks nav īsāks. Art. 13(8)

Par aktīvi izmantotām ievainojamībām un smagiem incidentiem, kas ietekmē produkta drošību, jāpaziņo ENISA un attiecīgajam CSIRT. Agrīns brīdinājums jāsniedz 24 stundu laikā pēc to uzzināšanas, kam seko pilnīgāks paziņojums un galīgais ziņojums. Art. 14

Akts stājās spēkā 2024. gada 10. decembrī. Ziņošanas pienākumi ir piemērojami no 2026. gada septembra (21 mēnesi vēlāk), un lielākā daļa pienākumu ir piemērojami no 2027. gada decembra (36 mēnešus vēlāk). Art. 71

Par būtisko prasību vai ražotāja pienākumu pārkāpumiem var piemērot naudas sodu līdz €15 miljoniem vai 2,5 % no kopējā gada apgrozījuma pasaulē, atkarībā no tā, kura summa ir lielāka. Citiem pārkāpumiem un nepareizas informācijas sniegšanai piemēro zemākus maksimālos apjomus.

Vēl ne, uz 2026. gada vidus. ENISA veido vienoto ziņošanas platformu saskaņā ar 16. pantu un publicē reģistrācijas un izmēģinājuma materiālus gaidāmajā periodā; tai ir paredzēts darboties līdz 2026. gada 11. septembrim ar testēšanas periodu pirms tam. Ņemiet vērā arī to, ka precīzo ziņošanas formātu un procedūru joprojām var precizēt Komisijas īstenošanas akti, un saskaņotie standarti, kas pamato ievainojamību apstrādi, tiek gaidīti ap 2026. gada 30. augustu; tāpēc veidojiet savu iekšējo procesu tagad, nevis gaidiet galīgo mehāniku. Skatīt ziņošanas rokasgrāmata. Art. 14 · 16

Komisijas standartizācijas pieprasījumu M/606 CEN, CENELEC un ETSI pieņēma 2025. gadā, aptverot aptuveni 41 standartu (horizontālie un produktiem specifiskie). Divi pamata horizontālie standarti (droša izstrāde un ievainojamību apstrāde) gaidāmi līdz 2026. gada 30. augustam, vertikālie produktu standarti līdz 2026. gada 30. oktobrim un atlikušie horizontālie standarti līdz 2027. gada 30. oktobrim, pirms pilnīgas piemērošanas 2027. gada decembrī. Citēta saskaņotā standarta ievērošana rada atbilstības prezumpciju. I pielikums

Veiciet jūsu produkta klasei atbilstošo atbilstības novērtēšanas ceļu, apkopojiet tehnisko dokumentāciju, sagatavojiet un parakstiet ES atbilstības deklarāciju un pēc tam piestipriniet CE marķējumu. Noklusējuma produkti var veikt pašnovērtējumu; svarīgiem un kritiskiem produktiem nepieciešami stingrāki ceļi. Art. 28 · 32

Sāciet ar CRA ātro pārbaudi, lai apstiprinātu darbības jomu un klasi, sekojiet jūsu lomai paredzētajai rokasgrāmatai un izmantojiet atbilstības matricu, lai izsekotu būtisko prasību izpildi.

14. panta ziņošanas pienākumi kļūst izpildāmi. No minētā datuma ražotājiem ir jāpaziņo ENISA un attiecīgajam CSIRT par aktīvi izmantotajām ievainojamībām un nopietniem incidentiem, izmantojot vienoto ziņošanas platformu. Tas ir pirmais no CRA galvenajiem pienākumiem, kas stājas spēkā, krietni pirms pilnīgas piemērošanas 2027. gada 11. decembrī. Skatīt ziņošanas rokasgrāmata. Art. 14 · 71

Nē. Tikai aktīvi izmantotās ievainojamības un nopietni incidenti kas ietekmē jūsu produkta drošību, ir ziņojamas saskaņā ar 14. pantu. Ievainojamības, ko atklājat un novēršat pirms to izmantošanas, tiek apstrādātas izmantojot parasto ievainojamību apstrādes procesu, nevis ziņošanas kanālu. Šis ziņošanas rokasgrāmata izklāsta pārbaudi un termiņus. Art. 14

Izmantojot ENISA vienoto ziņošanas platformu, kas virza jūsu paziņojumu uz ENISA un attiecīgo valsts CSIRT. Jūs nosūtāt agrīnu brīdinājumu 24 stundu laikā pēc informācijas iegūšanas, pilnīgāku paziņojumu 72 stundu laikā un galīgo ziņojumu 14 dienu laikā no koriģējoša pasākuma pieejamības. Skatīt soli pa solim ziņošanas rokasgrāmata. Art. 14 · 16