EU Cyber ​​Resilience Act (CRA): η υποχρέωση υποβολής εκθέσεων ξεκινά στις 11 Σεπτεμβρίου

Ο Κανονισμός για την Κυβερνοανθεκτικότητα τέθηκε σε ισχύ στις 10 Δεκεμβρίου 2024 ως Κανονισμός (ΕΕ) 2024/2847. Ωστόσο η έναρξη ισχύος και η έναρξη εφαρμογής των υποχρεώσεων δεν είναι το ίδιο πράγμα: ο κανονισμός θέτει σταδιακό χρονοδιάγραμμα, με τον κατασκευαστή να αντιμετωπίζει πρώτα την αναφορά και έπειτα τις απαιτήσεις προϊόντος.

Το πρώτο μέρος που εφαρμόζεται είναι η υποχρέωση αναφοράς από τις 11 Σεπτεμβρίου 2026. Το υπόλοιπο του κανονισμού — οι βασικές απαιτήσεις κυβερνοασφάλειας, η αξιολόγηση συμμόρφωσης, ο τεχνικός φάκελος και η σήμανση CE — εφαρμόζεται πλήρως από τις 11 Δεκεμβρίου 2027.

Οι δεκαπέντε μήνες μεταξύ αυτών των δύο ημερομηνιών δεν είναι περίοδος αναμονής αλλά προετοιμασίας. Επειδή η υποχρέωση αναφοράς προϋποθέτει μια ήδη λειτουργική διαδικασία διαχείρισης τρωτών σημείων, η υποδομή που πρέπει να θεσπιστεί το 2026 αποτελεί επίσης τη βάση της τεκμηρίωσης που θα απαιτηθεί το 2027.

Το πεδίο εφαρμογής καθορίζεται από τη φύση του προϊόντος και όχι από την κατηγορία προϊόντος: η φράση "προϊόν με ψηφιακά στοιχεία" καλύπτει προϊόντα υλικού και λογισμικού ικανά να δημιουργήσουν σύνδεση δεδομένων με συσκευή ή δίκτυο, άμεσα ή έμμεσα. Δεν χρειάζεται να είναι καταναλωτικό προϊόν· μπορούν να εμπίπτουν επίσης βιομηχανικός εξοπλισμός, εξαρτήματα και αυτόνομο λογισμικό.

Ο κανονισμός κατατάσσει τα προϊόντα ανάλογα με το επίπεδο κινδύνου, και όσο ανεβαίνει η κατηγορία τόσο αυξάνεται ο ρόλος τρίτου μέρους στην αξιολόγηση συμμόρφωσης. Το πρώτο έργο είναι επομένως να προσδιοριστεί σε ποια κατηγορία εμπίπτει το προϊόν — η κατηγορία καθορίζει όλες τις επόμενες αποφάσεις (αυτοδήλωση ή κοινοποιημένος οργανισμός).

Το να υποθέτουμε ότι ένα προϊόν είναι εκτός πεδίου εφαρμογής είναι επικίνδυνο: μια συσκευή χωρίς σύνδεση cloud αλλά συζευγμένη με εφαρμογή κινητού διαθέτει επίσης ψηφιακό στοιχείο. Σε οριακές περιπτώσεις, η γραπτή καταγραφή της απόφασης μαζί με την αιτιολόγησή της είναι το έγγραφο που αποδεικνύεται πιο χρήσιμο σε μεταγενέστερο έλεγχο.

Από τις 11 Σεπτεμβρίου 2026 οι κατασκευαστές υποχρεούνται να αναφέρουν ενεργά εκμεταλλευόμενα τρωτά σημεία και σοβαρά περιστατικά που επηρεάζουν την ασφάλεια του προϊόντος. Η αναφορά γίνεται μέσω της ενιαίας πλατφόρμας αναφοράς του ENISA, στην αρμόδια εθνική CSIRT και στον ENISA από κοινού.

Η αναφορά δεν ολοκληρώνεται με τη συμπλήρωση ενός μόνο εντύπου: λειτουργεί σταδιακά, ως πρώιμη προειδοποίηση, έπειτα ως πιο λεπτομερής αναφορά και, όταν η διαδικασία κλείνει, ως τελική έκθεση. Αυτό απαιτεί να έχει αποφασιστεί εκ των προτέρων ποιος θα συλλέξει ποιες πληροφορίες τις πρώτες ώρες ενός περιστατικού.

Η πρακτική συνέπεια είναι η εξής: η αναφορά δεν είναι ρήτρα συμμόρφωσης αλλά λειτουργία. Αν δεν είναι έτοιμη η διάταξη εφημερίας, το κανάλι επικοινωνίας, ο υπεύθυνος λήψης αποφάσεων και το πρότυπο καταγραφής, η γνωστοποίηση δεν μπορεί να γίνει εντός προθεσμίας.

Ο κανονισμός προβλέπει διοικητικά πρόστιμα για παραβιάσεις των βασικών απαιτήσεων κυβερνοασφάλειας και των ρητρών αναφοράς· το ανώτατο όριο ορίζεται στα 15 εκατομμύρια ευρώ ή στο 2,5% του παγκόσμιου ετήσιου κύκλου εργασιών — ισχύει όποιο είναι υψηλότερο.

Μια άλλη συνέπεια, εξίσου σημαντική με τον κίνδυνο προστίμων, είναι η πρόσβαση στην αγορά: ένα προϊόν του οποίου η συμμόρφωση δεν μπορεί να αποδειχθεί δεν μπορεί να διατεθεί στην αγορά της ΕΕ, και η αρχή εποπτείας της αγοράς μπορεί να λάβει μέτρα, συμπεριλαμβανομένης της ανάκλησης.

Η κατάρτιση απογραφής προϊόντων και ο προσδιορισμός ποιο προϊόν διαθέτει ψηφιακά στοιχεία και σε ποια κατηγορία εμπίπτει είναι το μοναδικό βήμα που καθιστά προγραμματίσιμο ολόκληρο το χρονοδιάγραμμα. Χωρίς απογραφή, κάθε άλλη εργασία στηρίζεται σε εικασίες.

Το δεύτερο βήμα είναι η ανακοίνωση της περιόδου υποστήριξης και η γραπτή διατύπωση της πολιτικής ενημερώσεων. Αποτελούν μέρος των απαιτήσεων του 2027, αλλά, επειδή εμπλέκουν εμπορικές αποφάσεις, είναι οι εργασίες που διαρκούν περισσότερο.

Το τρίτο είναι η δημιουργία καναλιού αναφοράς τρωτών σημείων: τόσο μιας διεύθυνσης για την παραλαβή εξωτερικών αναφορών όσο και εσωτερικής ροής για την αξιολόγησή τους. Η αναφορά του 2026 δεν λειτουργεί χωρίς αυτή τη ροή.