Pogosta vprašanja

Klasifikacija sledi osnovni funkcionalnosti izdelka, ne pa vsaki funkciji, ki jo vključuje. Če osnovna funkcija ustreza kategoriji, navedeni v Prilogi III, je izdelek 'pomemben' (razred I ali II); če ustreza Prilogi IV, je 'kritičen'; sicer je 'privzet'. Zmožnost, kot je upravljanje identitete ali VPN, vključena le kot funkcija, izdelka ne naredi 'pomembnega', razen če je to njegov osnovni namen. Kadar bi se lahko uporabljala več kot ena kategorija, velja strožji razred. čl. 7

Nekomercialna odprtokodna programska oprema, razvita zunaj komercialne dejavnosti, je večinoma zunaj področja uporabe. Upravljavci odprtokodne programske opreme imajo blažji, prilagojen nabor obveznosti. Odprtokodne komponente, dobavljene v okviru komercialne dejavnosti, lahko spadajo na področje uporabe.

Samostojne storitve so na splošno izven področja uporabe CRA. Vendar so rešitve za obdelavo podatkov na daljavo, ki so potrebne, da izdelek opravlja svoje funkcije, obravnavane kot del tega izdelka in so zajete. Izvzetost iz CRA ne pomeni, da storitev ni urejena: spletne in storitve v oblaku lahko spadajo pod druga pravila EU, zlasti NIS2 (Directive (EU) 2022/2555) za srednje velike in velike subjekte v zajetih sektorjih ter GDPR za osebne podatke. čl. 3(2)

Da. CRA velja za izdelke, dane na trg EU, ne glede na to, kje ima proizvajalec sedež. Proizvajalci zunaj EU morajo zagotoviti, da je za ustrezne obveznosti odgovoren gospodarski subjekt s sedežem v Uniji.

Delijo se v dva dela Priloge I: varnostne lastnosti, ki jih mora imeti izdelek (privzeto varno, zaupnost, celovitost, razpoložljivost, čim manjša napadalna površina, varnostne posodobitve), in postopke obravnavanja ranljivosti, ki jih mora izvajati proizvajalec (SBOM, odprava, usklajeno razkrivanje). Priloga I

Da. Proizvajalci morajo prepoznati in dokumentirati komponente, vsebovane v izdelku, vključno s pripravo seznama sestavin programske opreme v splošno uporabljani, strojno berljivi obliki. Priloga I · II(1)

Obdobje podpore je čas, v katerem mora proizvajalec zagotavljati varnostne posodobitve. Odražati mora obdobje, v katerem se razumno pričakuje uporaba izdelka: privzeto pet let, krajše, kadar je pričakovana uporaba krajša, in daljše, kadar je ta daljša. čl. 13(8)

O aktivno izkoriščenih ranljivostih in resnih incidentih, ki vplivajo na varnost izdelka, je treba obvestiti ENISA in zadevni CSIRT. Zgodnje opozorilo je treba podati v 24 urah po seznanitvi, sledita pa mu izčrpnejša priglasitev in končno poročilo. čl. 14

Akt je začel veljati 10. decembra 2024. Obveznosti poročanja se uporabljajo od septembra 2026 (21 mesecev pozneje), večina obveznosti pa od decembra 2027 (36 mesecev pozneje). čl. 71

Kršitve bistvenih zahtev ali obveznosti proizvajalca lahko privedejo do glob do 15 milijonov € ali 2,5 % skupnega svetovnega letnega prometa, odvisno od tega, kaj je višje. Za druge kršitve in za posredovanje napačnih informacij veljajo nižje zgornje meje.

Da, od 11 September 2026, torej od dneva, ko se je začela uporabljati sama obveznost iz člena 14. Platforma deluje na portal.cra-srp.enisa.europa.eu; izberete vlogo pooblaščenega zastopnika in se prijavite z računom EU Login, za katerega je omogočeno večfaktorsko preverjanje pristnosti. ENISA je naslov objavila v svojih pogostih vprašanjih o SRP 10 September 2026, skupaj s priročnikom za uporabnike pooblaščenih zastopnikov ter pogoji poslovanja platforme. Štiri stvari z njo niso prišle: prostovoljno poročanje po členu 15, API za poročanje, polje za seznanjenost z aktivno izkoriščenimi ranljivostmi in 72-urni števec, ki meri čas od seznanitve, ne od oddaje zgodnjega opozorila, kar pomeni, da lahko zaslonska ura prikaže oddajo kot zamujeno, še preden je zakonski rok potekel. Platforma za zdaj deluje samo v angleščini. Glejte vodnik za poročanje. čl. 14 · 16

Zahtevo Komisije za standardizacijo M/606 so leta 2025 sprejeli CEN, CENELEC in ETSI; zajema približno 41 standardov (horizontalnih in specifičnih za izdelek). Po osnutku spremembe Komisije iz julija 2026 v zvezi z M/606, ki je roke za leto 2026 prestavil za dva meseca, se dva osnovna horizontalna standarda (varni razvoj in obravnavanje ranljivosti) zdaj pričakujeta do 31. oktobra 2026, vertikalni standardi za izdelke do 31. decembra 2026, preostali horizontalni standardi pa do 30. oktobra 2027, pred polno uporabo decembra 2027. Upoštevanje navedenega harmoniziranega standarda daje domnevo o skladnosti. Priloga I

Izvedite pot ugotavljanja skladnosti za razred svojega izdelka, pripravite tehnično dokumentacijo, sestavite in podpišite izjavo EU o skladnosti ter nato namestite oznako CE. Privzeti izdelki se lahko ocenijo sami; pomembni in kritični izdelki zahtevajo strožje poti. čl. 28 · 32

Začnite s hitrim pregledom CRA, da potrdite področje uporabe in razred, sledite vodniku, napisanemu za vašo vlogo, in z matriko skladnosti spremljajte bistvene zahteve do dokončanja.

Obveznosti poročanja iz člena 14 postanejo izvršljive. Od tega datuma morajo proizvajalci prek enotne platforme za poročanje obvestiti ENISA in pristojni CSIRT o aktivno izkoriščenih ranljivostih in hudih incidentih. To je najzgodnejša od glavnih obveznosti CRA, ki začne veljati, bistveno pred polno uporabo 11. decembra 2027. Glejte vodnik za poročanje. čl. 14 · 71

Ne. Samo aktivno izkoriščene ranljivosti in hudi incidenti ki vplivajo na varnost vašega izdelka, je treba prijaviti v skladu s členom 14. Ranljivosti, ki jih odkrijete in odpravite pred izkoriščanjem, se obravnavajo prek vašega rednega postopka obravnavanja ranljivosti, ne prek poročevalnega kanala. The vodnik za poročanje določa preizkus in roke. čl. 14

Prek enotne platforme za poročanje agencije ENISA, ki deluje od 11 September 2026 na portal.cra-srp.enisa.europa.eu in vaše obvestilo posreduje agenciji ENISA ter pristojnemu nacionalnemu CSIRT. Zgodnje opozorilo pošljete v 24 urah po seznanitvi, popolnejše obvestilo v 72 urah, končno poročilo pa v 14 dneh po tem, ko je na voljo korektivni ukrep za ranljivost, oziroma v enem mesecu po obvestilu v 72 urah v primeru hudega incidenta. Prijava poteka prek EU Login z večfaktorskim preverjanjem pristnosti. Glejte podroben vodnik korak za korakom vodnik za poročanje. čl. 14 · 16

Na splošno ne, vsaj ne samo po sebi. Smernice Komisije pojasnjujejo, da je programska oprema, ki se izvaja na napravi uporabnika (prenesena aplikacija, razširitev brskalnika, lokalno nameščen odjemalec), izdelek z digitalnimi elementi, spletna aplikacija, ki se uporablja le prek brskalnika, ali spletno mesto, ki zgolj predstavlja informacije, pa ne. Storitev na daljavo je zajeta le, kadar gre za obdelavo podatkov na daljavo, ki je potrebna, da izdelek opravlja svoje funkcije. Izvzetost iz CRA ne pomeni, da storitev ni urejena: storitev, ki deluje samo v spletu, lahko še vedno spada pod NIS2 (za srednje velike in velike ponudnike) in GDPR. Art. 3 Glejte Pregled smernic Komisije.

Odgovor se lahko spremeni, ker CRA ureja izdelke, ne storitev. Ista koda, pripravljena kot namestljiva aplikacija (vključno z izdelavo s Capacitor, Electron ali podobnim orodjem), se izvaja na napravi uporabnika in je izdelek z digitalnimi elementi, zato se CRA uporablja. Če je na voljo samo kot progresivna spletna aplikacija v brskalniku, je spletna storitev in je kot izdelek na splošno izven področja uporabe CRA; zaledni sistem, s katerim komunicira, je zajet le, kadar gre za obdelavo podatkov na daljavo, ki jo izdelek potrebuje za opravljanje svojih funkcij. Dva opozorila: storitev, ki deluje samo v spletu, ni neurejena (NIS2 se lahko uporablja za srednje velike in velike ponudnike, GDPR pa za osebne podatke), meja med izdelkom in storitvijo pa je lahko zabrisana, zato odločitev za 'PWA' obravnavajte kot arhitekturno odločitev in ne kot zagotovljeno izvzetje. Art. 3 Glejte Pregled smernic Komisije.

Le kadar je posodobitev bistvena sprememba: sprememba, ki spremeni tveganje izdelka za kibernetsko varnost na način, ki ga vaša ocena tveganja še ni zajela. Običajne varnostne posodobitve praviloma niso bistvene spremembe. Kadar je posodobitev bistvena, se spremenjeni izdelek obravnava, kot da je na novo dan na trg, za prizadete dele pa je potrebno novo ugotavljanje skladnosti. Art. 3(30) The Smernice Komisije določa merilo.