Cyber Resilience Act.
Αναπτύξτε με ασφάλεια προϊόντα με ψηφιακά στοιχεία, διαχειριστείτε ευπάθειες και προετοιμάστε την κατάλληλη απόδειξη συμμόρφωσης.
- Κανονισμός (ΕΕ) 2024/2847
- Από Derya Altinay
- Ενημέρωση: 22/10/2026
- Χρόνος ανάγνωσης: 8 λεπτά
Σύντομη απάντηση.
Ο Cyber Resilience Act είναι ο κανονισμός της ΕΕ για την κυβερνοασφάλεια των καλυπτόμενων προϊόντων με ψηφιακά στοιχεία. Οι κατασκευαστές ευθύνονται για την ασφάλεια κατά την ανάπτυξη, τη διάθεση και την υποστήριξη. Οι υποχρεώσεις αναφοράς κατασκευαστών ισχύουν από τις 11 Σεπτεμβρίου 2026· οι γενικές υποχρεώσεις προϊόντων από τις 11 Δεκεμβρίου 2027. Βάση αποτελεί ο κανονισμός (ΕΕ) 2024/2847.
Cyber Resilience Act και προθεσμίες CRA.
Ο Cyber Resilience Act, εν συντομία CRA ή κανονισμός για την κυβερνοανθεκτικότητα, ρυθμίζει την κυβερνοασφάλεια προϊόντων. Ο κανονισμός (ΕΕ) 2024/2847 συνδέει απαιτήσεις σχεδιασμού με υποχρεώσεις κατά τον κύκλο ζωής του προϊόντος. Αντικείμενο εξέτασης είναι το συγκεκριμένο προϊόν, συμπεριλαμβανομένων των σχετικών εξαρτημάτων και της συναφούς εξ αποστάσεως επεξεργασίας δεδομένων. Ένα πρόγραμμα ασφάλειας για όλη την επιχείρηση μπορεί να υποστηρίζει αυτή την εργασία, αλλά δεν απαντά από μόνο του στα ειδικά ζητήματα του προϊόντος.
Οι προθεσμίες CRA ισχύουν σταδιακά. Σύμφωνα με το άρθρο 71 παράγραφος 2 CRA, οι γενικές απαιτήσεις αρχίζουν στις 11 Δεκεμβρίου 2027· οι αναφορές κατασκευαστών του άρθρου 14 ισχύουν ήδη από τις 11 Σεπτεμβρίου 2026. Το κεφάλαιο IV για την κοινοποίηση οργανισμών αξιολόγησης συμμόρφωσης ισχύει από τις 11 Ιουνίου 2026. Αυτή η θεσμική ημερομηνία δεν αποτελεί πρόωρη γενική προθεσμία σήμανσης CE για όλα τα προϊόντα λογισμικού.
Τα παλαιότερα προϊόντα δεν εξαιρούνται γενικά από τις αναφορές κατασκευαστών. Το άρθρο 69 παράγραφοι 2 και 3 CRA διακρίνει τους μεταβατικούς κανόνες συμμόρφωσης προϊόντων από τις αναφορές. Οι κατευθυντήριες γραμμές της Επιτροπής C(2026) 5252, ενότητα 9.1, εξηγούν αυτή τη διάκριση και για προϊόντα που τέθηκαν στην αγορά πριν από τον Δεκέμβριο 2027. Οι κατευθυντήριες γραμμές αποτελούν μη δεσμευτικό ερμηνευτικό βοήθημα· καθοριστικός παραμένει ο κανονισμός.
Ποια προϊόντα και επιχειρήσεις αφορά ο CRA.
Ο CRA αφορά τα καλυπτόμενα προϊόντα υλισμικού και λογισμικού που διατίθενται στην αγορά της ΕΕ και προβλέπουν άμεση ή έμμεση σύνδεση δεδομένων με συσκευή ή δίκτυο. Τα άρθρα 2 και 3 CRA καθορίζουν το πεδίο εφαρμογής και τους ορισμούς. Μπορεί να περιλαμβάνονται εξαρτήματα που προσφέρονται αυτοτελώς. Εξετάστε την πραγματική λειτουργία και τις νόμιμες εξαιρέσεις πριν ταξινομήσετε με τον ίδιο τρόπο όλο το χαρτοφυλάκιο.
Ο ρόλος της επιχείρησης καθορίζει τις υποχρεώσεις της. Κατασκευαστές, εισαγωγείς και διανομείς έχουν διαφορετικά καθήκοντα· ο ρόλος κατασκευαστή μπορεί να είναι σχετικός και όταν το προϊόν διατίθεται με ίδιο εμπορικό σήμα. Για λογισμικό ανοικτού κώδικα πρέπει να διακρίνονται η εμπορική διάθεση, οι συνεισφορές μεμονωμένων προσώπων και ο ειδικός ρόλος του διαχειριστή λογισμικού ανοικτού κώδικα. Μια ελεύθερη άδεια δεν απαλλάσσει γενικά τον κατασκευαστή εμπορικού προϊόντος από την ευθύνη του.
Μια υπηρεσία SaaS δεν εμπίπτει στον CRA ούτε εξαιρείται από αυτόν μόνο λόγω της εμπορικής ονομασίας της. Καθοριστικά είναι τα όρια του προϊόντος και η συναφής εξ αποστάσεως επεξεργασία δεδομένων. Οι κατευθυντήριες γραμμές της Επιτροπής, ενότητες 2 και 8, διακρίνουν προϊόντα λογισμικού από υπηρεσίες που παρέχονται εξ αποστάσεως. Καταγράψτε την αιτιολόγηση για τη συγκεκριμένη αρχιτεκτονική· μια γενική δήλωση για όλες τις προσφορές νέφους θα ήταν υπερβολικά ευρεία.
Οι κύριοι τομείς απαιτήσεων του CRA.
Οι απαιτήσεις του CRA συνδέουν την ασφάλεια προϊόντων βάσει κινδύνων με διαρκή ευθύνη. Το άρθρο 13 και το παράρτημα I CRA αποτελούν τη βάση των υποχρεώσεων προϊόντων· το άρθρο 14 ρυθμίζει τις αναφορές κατασκευαστών που εφαρμόζονται νωρίτερα. Οι ακόλουθοι τομείς προσφέρουν προσανατολισμό χωρίς να αντικαθιστούν τις επιμέρους νόμιμες απαιτήσεις.
Κατανόηση προϊόντος και κινδύνων.
Η εκτίμηση κινδύνων κυβερνοασφάλειας στηρίζει τις αποφάσεις ασφάλειας σε όλο τον κύκλο ζωής. Οι κατασκευαστές λαμβάνουν υπόψη την προβλεπόμενη και την ευλόγως προβλέψιμη χρήση. Περιγράψτε πρακτικά τις λειτουργίες, τις διεπαφές και τις εξαρτήσεις του προϊόντος και τις επιπτώσεις που μπορεί να έχει ένα πρόβλημα ασφάλειας για τους χρήστες του.
Ενσωμάτωση ασφάλειας στο προϊόν.
Ο ασφαλής σχεδιασμός συνδυάζεται με ασφαλείς προεπιλογές. Το παράρτημα I CRA καλύπτει ιδιότητες προϊόντων όπως προστασία πρόσβασης, προστασία δεδομένων και περιορισμό επιφανειών επίθεσης. Μια πολιτική που συντάσσεται εκ των υστέρων δεν μπορεί να αντικαταστήσει τεχνικές ιδιότητες· οι αποφάσεις ανάπτυξης και η επαλήθευσή τους πρέπει να συνάδουν με την εκτίμηση κινδύνων.
Υπεύθυνη ενσωμάτωση εξαρτημάτων.
Τα ενσωματωμένα εξαρτήματα παραμένουν μέρος της εξέτασης του προϊόντος. Οι κατασκευαστές χρειάζονται επαληθεύσιμες πληροφορίες για όσα παραδίδουν και για το πώς οι ευπάθειες στις εξαρτήσεις επηρεάζουν το προϊόν τους. Η Επιτροπή περιγράφει ρητά τη δέουσα επιμέλεια για εξαρτήματα τρίτων· η απλή διαβίβαση μιας δήλωσης προμηθευτή δεν απαντά σε κάθε ερώτημα για το προϊόν.
Διαχείριση ευπαθειών και ενημερώσεων.
Η διαχείριση ευπαθειών είναι συνεχές καθήκον κατά τη σχετική περίοδο υποστήριξης. Περιλαμβάνει προσβάσιμους διαύλους αναφοράς, αξιολόγηση, αποκατάσταση και ασφαλή παροχή ενημερώσεων ασφάλειας. Διαχωρίστε την τεχνική διαχείριση ενός ευρήματος από τη νομική αξιολόγηση για το αν μια ενεργά εκμεταλλευόμενη ευπάθεια ή ένα σοβαρό περιστατικό υπόκειται σε υποχρέωση αναφοράς.
Καθορισμός υποστήριξης και πληροφοριών χρήστη.
Η περίοδος υποστήριξης εξαρτάται από τα κριτήρια του άρθρου 13 παράγραφος 8 CRA και την αναμενόμενη χρήση. Κατ’ αρχήν προβλέπονται τουλάχιστον πέντε έτη· για μικρότερη αναμενόμενη χρήση ισχύει η διάρκειά της, ενώ για μεγαλύτερη μπορεί να απαιτείται μεγαλύτερη περίοδος. Οι κατευθυντήριες γραμμές της Επιτροπής, ενότητα 5, διευκρινίζουν ρητά ότι τα πέντε έτη δεν αποτελούν γενικό ανώτατο όριο.
Δυνατότητα αναφορών κατασκευαστή.
Το άρθρο 14 CRA διακρίνει τις ενεργά εκμεταλλευόμενες ευπάθειες από τα σοβαρά περιστατικά ασφάλειας. Για τους κατασκευαστές ισχύουν σταδιακές αναφορές: αμελλητί και το αργότερο εντός 24 ωρών έγκαιρη προειδοποίηση και εντός 72 ωρών περαιτέρω στοιχεία από τη στιγμή γνώσης. Οι τελικές προθεσμίες διαφέρουν ανάλογα με το γεγονός ενεργοποίησης. Επομένως, ένα εύρημα σαρωτή από μόνο του δεν αποτελεί αυτόματα ούτε υποχρεωτική αναφορά ούτε επαρκή λόγο περάτωσης του συμβάντος.
Προετοιμασία συμμόρφωσης και τεκμηρίωσης.
Η τεχνική τεκμηρίωση και η αξιολόγηση συμμόρφωσης πρέπει να εξηγούν το προσφερόμενο προϊόν. Το άρθρο 32 CRA και η κατηγορία προϊόντος καθορίζουν την επιτρεπτή διαδικασία. Διατηρήστε μαζί την επιλεγμένη βάση αξιολόγησης και την έκδοση προϊόντος· μια γενική συλλογή εγγράφων χωρίς επαληθεύσιμη σύνδεση με την ελεγμένη διαμόρφωση δεν επαρκεί ως πρακτική στρατηγική τεκμηρίωσης.
Η εφαρμογή του CRA ως διαδικασία προϊόντος.
Οριοθετήστε χαρτοφυλάκιο και ρόλους.
Ως πρακτική αφετηρία, καταγράψτε τα προσφερόμενα προϊόντα, τις σχετικές λειτουργίες τους, την υπεύθυνη νομική οντότητα και τον ρόλο σε κάθε δίαυλο διάθεσης.
Διακρίνετε τις φάσεις εφαρμογής.
Διαχωρίστε την ήδη ισχύουσα ετοιμότητα αναφορών κατασκευαστή από την προετοιμασία γενικής συμμόρφωσης προϊόντων και εξετάστε τις μεταβατικές διατάξεις για υπάρχοντα προϊόντα.
Μετατρέψτε τους κινδύνους σε αποφάσεις προϊόντος.
Συνδέστε την εκτίμηση κινδύνων με τον σχεδιασμό, την επιλογή εξαρτημάτων και επαληθεύσιμα κριτήρια ασφάλειας για ανάπτυξη και έγκριση έκδοσης.
Δοκιμάστε τους διαύλους αναφοράς.
Ορίστε υπευθύνους και αναπληρωτές και εξασκηθείτε στην αξιολόγηση, την κλιμάκωση και τη διαβίβαση με ελλιπείς πληροφορίες εντός των εφαρμοστέων προθεσμιών.
Καθορίστε υποστήριξη και οδό τεκμηρίωσης.
Προγραμματίστε τη συντήρηση υποστηριζόμενων εκδόσεων προϊόντων και διευκρινίστε βάσει κατηγορίας ποια αξιολόγηση συμμόρφωσης και τεχνική τεκμηρίωση θα απαιτηθούν.
Σήμανση CE λογισμικού και τεκμηρίωση προϊόντος.
Η τεκμηρίωση CRA είναι αξιολόγηση συμμόρφωσης συγκεκριμένου προϊόντος. Η Επιτροπή εξηγεί σχετικά με το άρθρο 32 CRA ότι στην τυπική κατηγορία είναι δυνατή η εσωτερική αξιολόγηση. Για ορισμένα σημαντικά ή κρίσιμα προϊόντα ισχύουν αυστηρότερες διαδικασίες με κοινοποιημένο οργανισμό ή άλλες εκάστοτε επιτρεπόμενες οδούς τεκμηρίωσης. Η πραγματική λειτουργία του προϊόντος καθορίζει την κατηγορία· μια διαφημιστική ονομασία προϊόντος δεν επαρκεί.
Η δήλωση συμμόρφωσης ΕΕ και η σήμανση CE ακολουθούν την εφαρμοστέα διαδικασία. Δεν αποτελούν γενικό πιστοποιητικό για όλη την επιχείρηση ούτε υπόσχεση ότι ένα προϊόν δεν θα έχει ποτέ ευπάθεια. Συνεπώς, μια ενιαία διάρκεια πιστοποιητικού δεν περιγράφει κατάλληλα τον CRA: η τεκμηρίωση, η διαχείριση ευπαθειών και οι εκάστοτε υποχρεώσεις πρέπει να εξετάζονται σε όλο τον σχετικό κύκλο ζωής.
Άλλα πλαίσια και αυτοτελείς υποχρεώσεις.
Το ISO 27001 οργανώνει ένα σύστημα διαχείρισης ασφάλειας πληροφοριών· το αντίστοιχο πιστοποιητικό δεν επιβεβαιώνει από μόνο του τη συμμόρφωση προϊόντος με τον CRA. Η NIS2 εξετάζει τις οντότητες που υπάγονται και την οργάνωση ασφάλειάς τους. Ο ΓΚΠΔ προστατεύει δεδομένα προσωπικού χαρακτήρα, γι’ αυτό ένα συμβάν προϊόντος μπορεί να προκαλέσει πρόσθετα ζητήματα προστασίας δεδομένων. Συναφείς διαδικασίες εργασίας μπορούν να συντονίζονται, αλλά οι νομικοί λόγοι ενεργοποίησης και τα τεκμήριά τους παραμένουν αντικείμενο χωριστής εξέτασης.
Στο Secani.
Το Secani περιλαμβάνει συντακτικά επεξεργασμένο κατάλογο εργασίας CRA με πηγές, ερωτήσεις ελέγχου και παραδείγματα τεκμηρίων. Το προφίλ επιχείρησης καταγράφει, μεταξύ άλλων, ρόλους και ημερομηνία αξιολόγησης· οι αδιευκρίνιστες προϋποθέσεις παραμένουν ορατές ως ανάγκες εξέτασης. Το βοήθημα υποστηρίζει την οργάνωση της εξέτασης, αλλά δεν επιβεβαιώνει ούτε τη νομική ταξινόμηση ούτε τη συμμόρφωση προϊόντος.
Ξεκινήστε με οριοθετημένο προϊόν.
Επιλέξτε συγκεκριμένο προϊόν και διευκρινίστε πρώτα τα όριά του, την υπεύθυνη νομική οντότητα και τα αρμόδια πρόσωπα για αναφορές ασφάλειας. Έπειτα εξετάστε ποιες σημερινές και μελλοντικές υποχρεώσεις αφορούν αυτό το προϊόν. Αυτή η αφετηρία καθιστά την προετοιμασία διαχειρίσιμη και αποτρέπει ένα γενικό έργο συμμόρφωσης από το να επισκιάζει την ήδη απαιτούμενη ετοιμότητα αναφορών.
Πηγές.
- Κανονισμός (ΕΕ) 2024/2847 – Cyber Resilience Act
- Ευρωπαϊκή Επιτροπή: Cyber Resilience Act και ημερομηνίες εφαρμογής
- Ευρωπαϊκή Επιτροπή: σύνοψη της νομοθετικής πράξης
- Ευρωπαϊκή Επιτροπή: υποχρεώσεις κατασκευαστών
- Ευρωπαϊκή Επιτροπή: αξιολόγηση συμμόρφωσης
- Ευρωπαϊκή Επιτροπή: CRA και ανοικτός κώδικας
- Ευρωπαϊκή Επιτροπή: κατευθυντήριες γραμμές C(2026) 5252 με παράρτημα
Συχνές ερωτήσεις.
Ναι, για τους κατασκευαστές που καλύπτονται, οι αναφορές του άρθρου 14 CRA ισχύουν από τις 11 Σεπτεμβρίου 2026. Οι γενικές υποχρεώσεις προϊόντων αρχίζουν στις 11 Δεκεμβρίου 2027· ειδικοί ρόλοι και μεταβατικές ρυθμίσεις εξετάζονται χωριστά.
Όχι, ο χαρακτηρισμός SaaS δεν καθορίζει το πεδίο εφαρμογής. Εξετάστε το προϊόν λογισμικού, τις λειτουργίες του και τη συναφή εξ αποστάσεως επεξεργασία δεδομένων βάσει της συγκεκριμένης αρχιτεκτονικής.
Όχι, η ειδική μεταχείριση προηγούμενων συνεισφορών ανοικτού κώδικα δεν απαλλάσσει γενικά τον κατασκευαστή εμπορικού προϊόντος από τις υποχρεώσεις του. Ο ρόλος κατασκευαστή και ο πιθανός ρόλος διαχειριστή ανοικτού κώδικα πρέπει να διακρίνονται.
Όχι, ένα πιστοποιητικό ISO 27001 αφορά ένα οριοθετημένο σύστημα διαχείρισης. Ο CRA απαιτεί χωριστή εξέταση του προϊόντος και την εκάστοτε εφαρμοστέα απόδειξη συμμόρφωσης.
Οργανώστε τεκμηριωμένα την ασφάλεια προϊόντος.
Διαχειριστείτε δομημένα τις απαιτήσεις CRA και τον έλεγχό τους με το Secani.
Αυτή η σελίδα εξηγεί γενικά τον Cyber Resilience Act και δεν υποκαθιστά νομική εξέταση του μεμονωμένου προϊόντος. Καθοριστικές είναι οι ισχύουσες νομοθετικές πράξεις.