Biežāk uzdotie jautājumi

Klasifikācija balstās uz produkta pamatfunkciju, nevis katru tā ietverto funkciju. Ja pamatfunkcija atbilst kategorijai, kas minēta III pielikumā, produkts ir "svarīgs" (I vai II klase); ja tas atbilst IV pielikumam, tas ir "kritisks"; pretējā gadījumā tas ir "noklusējuma". Funkcionalitāte, piemēram, identitātes pārvaldība vai VPN, kas iekļauta tikai kā viena funkcija, nepadara produktu par "svarīgu", ja vien tā nav tā pamatmērķis. Ja varētu attiekties vairāk nekā viena kategorija, piemēro stingrāko klasi. Art. 7

Nekomerciāla atvērtā pirmkoda programmatūra, kas izstrādāta ārpus komerciālas darbības, lielākoties neietilpst darbības jomā. Atvērtā pirmkoda programmatūras pārvaldītājiem ir vieglāks, pielāgots pienākumu kopums. Atvērtā pirmkoda komponenti, kas piegādāti komerciālas darbības ietvaros, var ietilpt darbības jomā.

Atsevišķi pakalpojumi parasti ir ārpus CRA darbības jomas. Tomēr attālinātas datu apstrādes risinājumi, kas nepieciešami, lai produkts pildītu savas funkcijas, tiek uzskatīti par šī produkta daļu un ietilpst darbības jomā. Atrašanās ārpus CRA nenozīmē, ka regulējuma nav: tīmekļa un mākoņpakalpojumiem var piemērot citus EU noteikumus, jo īpaši NIS2 (Directive (EU) 2022/2555) vidējiem un lielajiem subjektiem attiecīgajās nozarēs un GDPR attiecībā uz personas datiem. Art. 3(2)

Jā. CRA attiecas uz ES tirgū laistiem produktiem neatkarīgi no tā, kur ražotājs ir reģistrēts. Ražotājiem ārpus ES jānodrošina, ka par attiecīgajiem pienākumiem ir atbildīgs Savienībā reģistrēts ekonomikas dalībnieks.

Tās iedalās divās I pielikuma daļās: drošības īpašības, kas produktam jābūt (droša pēc noklusējuma, konfidencialitāte, integritāte, pieejamība, samazināta uzbrukuma virsma, drošības atjauninājumi), un ievainojamību apstrādes procesi, kas ražotājam jānodrošina (SBOM, novēršana, koordinēta izpaušana). I pielikums

Jā. Ražotājiem jāidentificē un jādokumentē produktā ietilpstošie komponenti, tostarp sagatavojot programmatūras sastāva specifikāciju plaši lietotā, mašīnlasāmā formātā. I pielikums · II(1)

Atbalsta periods ir laiks, kura laikā ražotājam jānodrošina drošības atjauninājumi. Tam jāatspoguļo periods, kurā produktu saprātīgi paredzēts lietot: pēc noklusējuma pieci gadi, īsāk, ja paredzamais lietošanas laiks ir īsāks, un ilgāk, ja tas ir garāks. Art. 13(8)

Par aktīvi izmantotām ievainojamībām un smagiem incidentiem, kas ietekmē produkta drošību, jāpaziņo ENISA un attiecīgajam CSIRT. Agrīns brīdinājums jāsniedz 24 stundu laikā pēc to uzzināšanas, kam seko pilnīgāks paziņojums un galīgais ziņojums. Art. 14

Akts stājās spēkā 2024. gada 10. decembrī. Ziņošanas pienākumi ir piemērojami no 2026. gada septembra (21 mēnesi vēlāk), un lielākā daļa pienākumu ir piemērojami no 2027. gada decembra (36 mēnešus vēlāk). Art. 71

Par būtisko prasību vai ražotāja pienākumu pārkāpumiem var piemērot naudas sodu līdz €15 miljoniem vai 2,5 % no kopējā gada apgrozījuma pasaulē, atkarībā no tā, kura summa ir lielāka. Citiem pārkāpumiem un nepareizas informācijas sniegšanai piemēro zemākus maksimālos apjomus.

Jā, kopš 2026. gada 11. septembra, dienas, kad sākās pats 14. panta pienākums. Platforma darbojas adresē portal.cra-srp.enisa.europa.eu; jūs izvēlaties lomu „Assigned Representative” (pilnvarotais pārstāvis) un pieteicaties ar EU Login kontu, kam ir iespējota daudzfaktoru autentifikācija. ENISA šo adresi publicēja savos SRP bieži uzdotajos jautājumos 2026. gada 10. septembrī kopā ar „AR User Manual” un platformas lietošanas noteikumiem. Četras lietas līdz ar to nebija pieejamas: brīvprātīga ziņošana saskaņā ar 15. pantu, ziņošanas API, lauks informētībai par aktīvi izmantotajām ievainojamībām un 72 stundu skaitītājs, kas atskaiti sāk no brīža, kad kļuvāt informēti, nevis no agrīnā brīdinājuma iesniegšanas, tādēļ ekrānā redzamais pulkstenis var rādīt iesniegumu kā nokavētu, pirms ir pagājis juridiskais termiņš. Platforma pagaidām darbojas tikai angļu valodā. Skatiet ziņošanas rokasgrāmata. Art. 14 · 16

Komisijas standartizācijas pieprasījumu M/606 CEN, CENELEC un ETSI pieņēma 2025. gadā, aptverot aptuveni 41 standartu (horizontālie un produktiem specifiskie). Pēc Komisijas 2026. gada jūlija grozījuma projekta attiecībā uz M/606, ar kuru 2026. gada termiņi atlikti par diviem mēnešiem, divi pamata horizontālie standarti (droša izstrāde un ievainojamību apstrāde) tagad gaidāmi līdz 2026. gada 31. oktobrim, vertikālie produktu standarti līdz 2026. gada 31. decembrim un atlikušie horizontālie standarti līdz 2027. gada 30. oktobrim, pirms pilnīgas piemērošanas 2027. gada decembrī. Citēta saskaņotā standarta ievērošana rada atbilstības prezumpciju. I pielikums

Veiciet jūsu produkta klasei atbilstošo atbilstības novērtēšanas ceļu, apkopojiet tehnisko dokumentāciju, sagatavojiet un parakstiet ES atbilstības deklarāciju un pēc tam piestipriniet CE marķējumu. Noklusējuma produkti var veikt pašnovērtējumu; svarīgiem un kritiskiem produktiem nepieciešami stingrāki ceļi. Art. 28 · 32

Sāciet ar CRA ātro pārbaudi, lai apstiprinātu darbības jomu un klasi, sekojiet jūsu lomai paredzētajai rokasgrāmatai un izmantojiet atbilstības matricu, lai izsekotu būtisko prasību izpildi.

14. panta ziņošanas pienākumi kļūst izpildāmi. No minētā datuma ražotājiem ir jāpaziņo ENISA un attiecīgajam CSIRT par aktīvi izmantotajām ievainojamībām un nopietniem incidentiem, izmantojot vienoto ziņošanas platformu. Tas ir pirmais no CRA galvenajiem pienākumiem, kas stājas spēkā, krietni pirms pilnīgas piemērošanas 2027. gada 11. decembrī. Skatīt ziņošanas rokasgrāmata. Art. 14 · 71

Nē. Tikai aktīvi izmantotās ievainojamības un nopietni incidenti kas ietekmē jūsu produkta drošību, ir ziņojamas saskaņā ar 14. pantu. Ievainojamības, ko atklājat un novēršat pirms to izmantošanas, tiek apstrādātas izmantojot parasto ievainojamību apstrādes procesu, nevis ziņošanas kanālu. Šis ziņošanas rokasgrāmata izklāsta pārbaudi un termiņus. Art. 14

Izmantojot ENISA vienoto ziņošanas platformu, kas darbojas kopš 2026. gada 11. septembra (portal.cra-srp.enisa.europa.eu) un novirza jūsu paziņojumu ENISA un attiecīgajam valsts CSIRT. Agrīno brīdinājumu nosūtāt 24 stundu laikā pēc uzzināšanas, pilnāku paziņojumu 72 stundu laikā un nobeiguma ziņojumu 14 dienu laikā pēc tam, kad ievainojamībai ir pieejams korektīvs pasākums, vai viena mēneša laikā pēc 72 stundu paziņojuma nopietna incidenta gadījumā. Pieteikšanās notiek ar EU Login, izmantojot daudzfaktoru autentifikāciju. Skatiet soli pa solim ziņošanas rokasgrāmata. Art. 14 · 16

Parasti ne tikai ar to vien. Komisijas norādījumi precizē, ka programmatūra, kas darbojas lietotāja ierīcē (lejupielādēta lietotne, pārlūka paplašinājums, lokāli instalēts klients), ir produkts ar digitāliem elementiem, savukārt tīmekļa lietojumprogramma, ko izmanto tikai pārlūkprogrammā, vai tīmekļvietne, kas tikai sniedz informāciju, nav. Attālināts pakalpojums ir iekļauts tikai tad, ja tā ir attālināta datu apstrāde, kas nepieciešama, lai produkts pildītu savas funkcijas. Atrašanās ārpus CRA darbības jomas nenozīmē, ka regulējuma nav: tikai tīmekļa pakalpojumam joprojām var piemērot NIS2 (vidējiem un lielajiem pakalpojumu sniedzējiem) un GDPR. Art. 3 Skatiet Komisijas norādījumu pārskats.

Tas var mainīt atbildi, jo CRA regulē produktus, nevis pakalpojumus. Tas pats kods, kas iepakots kā instalējama lietotne (tostarp Capacitor, Electron vai līdzīgs būvējums), darbojas lietotāja ierīcē un ir produkts ar digitāliem elementiem, tāpēc CRA ir piemērojams. Ja tas tiek piegādāts tikai kā progresīvā tīmekļa lietotne (PWA) pārlūkprogrammā, tas ir tīmekļa pakalpojums un kā produkts parasti ir ārpus CRA darbības jomas; aizmugursistēma, ar kuru tas sazinās, ir iekļauta tikai tad, ja tā ir attālināta datu apstrāde, kas produktam nepieciešama, lai pildītu savas funkcijas. Divi brīdinājumi: tikai tīmekļa pakalpojums nav neregulēts (NIS2 var attiekties uz vidējiem un lielajiem pakalpojumu sniedzējiem, bet GDPR uz personas datiem), un robeža starp produktu un pakalpojumu var būt izplūdusi, tāpēc lēmumu „piegādāt PWA” uzskatiet par arhitektūras lēmumu, nevis garantētu izņēmumu. Art. 3 Skatiet Komisijas norādījumu pārskats.

Tikai tad, ja atjauninājums ir būtiska pārveidošana: izmaiņas, kas maina produkta kiberdrošības risku tādā veidā, ko jūsu riska novērtējums vēl nebija aptvēris. Parasti drošības atjauninājumi netiek uzskatīti par būtiskiem grozījumiem. Ja atjauninājums ir būtisks, pārveidotais produkts tiek uzskatīts par no jauna laistu tirgū, un attiecīgajām daļām ir nepieciešams jauns atbilstības novērtējums. Art. 3(30) Šis Komisijas norādījumi nosaka pārbaudi.