قانون تاب آوری سایبری اتحادیه اروپا (CRA): تعهد گزارش از 11 سپتامبر آغاز می شود
اطلاع‌رسانی به ENISA درباره آسیب‌پذیری‌های فعالانه بهره‌برداری‌شده در محصولات دارای عنصر دیجیتال از سپتامبر ۲۰۲۶ آغاز می‌شود؛ ارزیابی کامل انطباق شامل نشان CE نیز در دسامبر ۲۰۲۷ اجباری خواهد شد.
قانون تاب‌آوری سایبری (CRA) الزامات امنیت سایبری سراسر اتحادیه اروپا را برای محصولات دارای عناصر دیجیتال معرفی می‌کند. دامنه آن گسترده است: بیشتر محصولات سخت‌افزاری و نرم‌افزاری قابل اتصال، چه محصول مصرفی باشند چه نباشند، در این چارچوب قرار می‌گیرند.
نخستین بخش این قانون که به اجرا درمی‌آید، تعهد گزارش‌دهی است. تولیدکنندگان موظف‌اند آسیب‌پذیری‌های فعالانه بهره‌برداری‌شده و رخدادهای جدی را از طریق کانالی معین به مقامات ذی‌صلاح گزارش دهند؛ این کاری یک‌باره نیست بلکه فرایندی پیوسته است.
مرحله‌ای که پس از گزارش‌دهی می‌آید، اجرای الزامات محصول و ارزیابی انطباق است. بنابراین آماده‌سازی برای گزارش‌دهی زمان مناسبی نیز برای تدوین مستندات ایمنی محصول و سیاست به‌روزرسانی است.
قانون از چه زمانی لازم‌الاجرا شد و از چه زمانی به‌طور کامل اعمال می‌شود
قانون تاب‌آوری سایبری در تاریخ ۱۰ دسامبر ۲۰۲۴ به‌عنوان مقرره (اتحادیه اروپا) 2024/2847 لازم‌الاجرا شد. اما لازم‌الاجرا شدن با آغاز اعمال تعهدات یکی نیست: این مقرره جدول زمانی مرحله‌ای تعیین می‌کند و تولیدکننده نخست با گزارش‌دهی و سپس با الزامات محصول روبه‌رو می‌شود.
نخستین بخشی که اعمال می‌شود، تعهد گزارش‌دهی است که از ۱۱ سپتامبر ۲۰۲۶ آغاز می‌شود. بقیه مقرره — الزامات اساسی امنیت سایبری، ارزیابی انطباق، پرونده فنی و نشان CE — از ۱۱ دسامبر ۲۰۲۷ به‌طور کامل اعمال می‌شود.
پانزده ماه میان این دو تاریخ دوره انتظار نیست بلکه دوره آماده‌سازی است. از آنجا که تعهد گزارش‌دهی مستلزم فرایند مدیریت آسیب‌پذیری از پیش کارآمد است، زیرساختی که باید در ۲۰۲۶ برپا شود پایه مستنداتی نیز خواهد بود که در ۲۰۲۷ خواسته می‌شود.
چه کسانی در دامنه قرار می‌گیرند
دامنه بر پایه ماهیت محصول تعریف می‌شود نه دسته آن: عبارت «محصول دارای عناصر دیجیتال» محصولات سخت‌افزاری و نرم‌افزاری‌ای را دربرمی‌گیرد که بتوانند به‌طور مستقیم یا غیرمستقیم به دستگاه یا شبکه‌ای اتصال داده برقرار کنند. لازم نیست محصول مصرفی باشد؛ تجهیزات صنعتی، اجزا و نرم‌افزار مستقل نیز می‌توانند در این دامنه قرار گیرند.
این مقرره محصولات را بر اساس سطح ریسک طبقه‌بندی می‌کند و هرچه رتبه بالاتر رود، نقش شخص ثالث در ارزیابی انطباق افزایش می‌یابد. بنابراین نخستین کار تعیین این است که محصول در کدام رتبه قرار می‌گیرد — این رتبه همه تصمیمات بعدی (اظهار خودی یا نهاد اعلام‌شده) را تعیین می‌کند.
فرض اینکه محصولی خارج از دامنه است ریسک‌پذیر است: دستگاهی بدون اتصال ابری اما جفت‌شده با یک اپلیکیشن موبایل نیز عنصر دیجیتال دارد. در موارد مرزی، ثبت مکتوب تصمیم همراه با توجیه آن سودمندترین سندی است که در بازرسی بعدی به کار می‌آید.
گزارش‌دهی چگونه کار می‌کند
از ۱۱ سپتامبر ۲۰۲۶، تولیدکنندگان موظف‌اند آسیب‌پذیری‌های فعالانه بهره‌برداری‌شده و رخدادهای جدی مؤثر بر ایمنی محصول را گزارش دهند. این اطلاع از طریق سکوی واحد گزارش‌دهی ENISA، هم‌زمان به CSIRT ملی مربوطه و به ENISA ارسال می‌شود.
اطلاع‌رسانی با پرکردن یک فرم به پایان نمی‌رسد: به‌صورت مرحله‌ای انجام می‌شود، ابتدا هشدار زودهنگام، سپس اطلاع مفصل‌تر و در پایان فرایند، گزارش نهایی. این کار مستلزم آن است که از پیش مشخص شود چه کسی در ساعات نخست یک رخداد چه اطلاعاتی را جمع‌آوری می‌کند.
پیامد عملی این است: گزارش‌دهی یک بند تطبیقی نیست بلکه یک عملیات است. اگر نظام آماده‌باش، کانال ارتباطی، تصمیم‌گیرنده و قالب ثبت آماده نباشند، اطلاع‌رسانی در مهلت مقرر ممکن نخواهد بود.
جنبه اجرا و ضمانت‌اجرا
این مقرره جریمه‌های اداری برای نقض الزامات اساسی امنیت سایبری و بندهای گزارش‌دهی پیش‌بینی می‌کند؛ سقف آن ۱۵ میلیون یورو یا ۲.۵ درصد از گردش مالی سالانه جهانی تعریف شده است — هرکدام بالاتر باشد اعمال می‌شود.
پیامد دیگری که به‌اندازه ریسک جریمه اهمیت دارد، دسترسی به بازار است: محصولی که انطباق آن قابل اثبات نباشد نمی‌تواند در بازار اتحادیه اروپا عرضه شود و مقام نظارت بر بازار می‌تواند اقداماتی از جمله فراخوانی محصول اتخاذ کند.
اکنون چه کاری ارزش انجام‌دادن دارد
تهیه فهرست موجودی محصولات و مشخص‌کردن اینکه کدام محصول دارای عناصر دیجیتال است و در کدام رتبه قرار می‌گیرد، تنها گامی است که کل جدول زمانی را قابل‌برنامه‌ریزی می‌کند. بدون این فهرست، هر کار دیگری بر حدس استوار است.
گام دوم اعلام دوره پشتیبانی و مکتوب‌کردن سیاست به‌روزرسانی است. این‌ها بخشی از الزامات ۲۰۲۷ هستند اما چون شامل تصمیمات تجاری‌اند، بیشترین زمان را می‌برند.
سومین گام ایجاد کانال گزارش آسیب‌پذیری است: هم نشانی برای دریافت گزارش از بیرون و هم جریانی داخلی برای ارزیابی آن. گزارش‌دهی سال ۲۰۲۶ بدون این جریان کار نمی‌کند.
چه باید کرد؟
- 1مشخص کنید آیا محصولات شما در دامنه CRA قرار می‌گیرند یا خیر.
- 2فرایندی برای گزارش آسیب‌پذیری و رخداد با مسئول، کانال و بازه زمانی مشخص برقرار کنید.
- 3سیاست به‌روزرسانی امنیتی و دوره پشتیبانی خود را مکتوب کنید.
این نوشته جنبه اطلاع‌رسانی دارد و نظر حقوقی نیست. اینکه یک مقررات چگونه بر محصول شما اعمال می‌شود به ویژگی‌های فنی محصول و بازار هدف بستگی دارد؛ دامنه دقیق فقط با بررسی محصول تعیین می‌شود.