Cyber Resilience Act: обов’язки звітування діють уже з вересня
11 вересня почали діяти вимоги звітування. Основні вимоги до продуктів набудуть чинності у грудні 2027 року.
- З 11 вересня 2026
- Повне застосування: грудень 2027
Графік Європейської комісії визначає 11 вересня 2026 року як початок обов’язків звітування за Cyber Resilience Act. Повне застосування акта розпочнеться 11 грудня 2027 року. Для виробників продуктів із цифровими елементами це дві різні дати.
Липневі настанови стосуються сфери дії регулювання, періодів підтримки, істотних модифікацій і звітування. Комісія зазначає, що вони не є обов’язковими. Компанія все одно має з’ясувати, чи поширюються правила на її конкретний продукт.
Для постачальників програмного забезпечення подвійного призначення та мережевих пристроїв практичний пріоритет - розподіл відповідальності: хто отримує повідомлення про безпеку, оцінює його та координує реагування? Відсутність домовленостей може затримати дії. Сам графік не розв’язує юридичних питань щодо продукту.
Про що і в які строки потрібно повідомляти
Обов’язок стосується вразливостей, які активно експлуатують, і серйозних інцидентів, що впливають на безпеку продукту з цифровими елементами. За поясненнями Комісії, виробник надсилає раннє попередження протягом 24 годин після того, як дізнався про подію, а повне повідомлення - протягом 72 годин. Це не вимога повідомляти про кожну помилку, знайдену під час звичайного тестування програмного забезпечення.
Строки остаточного звіту різняться. Для активно експлуатованої вразливості Комісія вказує максимум 14 днів від надання засобу виправлення. Для серйозного інциденту - місяць від повідомлення, яке подають у 72-годинний строк. Ці відліки потрібно розрізняти у внутрішній процедурі опрацювання повідомлень.
Одна платформа, відповідні органи
Повідомлення надходять через Single Reporting Platform, якою керує ENISA. Комісія описує передавання відповідній команді CSIRT та, як правило, одночасне надання ENISA. ENISA підтверджує обов’язок виробників користуватися платформою з 11 вересня 2026 року й публікує інструкції для призначених представників.
Для невеликого виробника практичне завдання - підготувати відповідальну особу та доступ до виникнення проблеми. Усередині компанії має бути зрозуміло, хто класифікує подію, збирає дані про версію продукту й затверджує повідомлення. Це організаційна рекомендація редакції з огляду на короткі строки, а не додаткова встановлена законом форма.
Подвійне призначення не дає автоматичного винятку
Стаття 2, пункт 7 виключає продукти, розроблені або модифіковані виключно для національної безпеки чи оборони, та продукти, спеціально призначені для обробки секретної інформації. Слово «виключно» важливе: продаж цивільного продукту також військовим не визначає автоматично застосування цього винятку.
Тому постачальник має встановити сферу дії правил для конкретного продукту та його призначення. Окреме регулювання стосується, зокрема, певних медичних виробів. Не варто припускати однакову відповідь для всього портфеля компанії лише тому, що вона бере участь в оборонній виставці або називає свою діяльність med-tech.
Звітування вже діє, повні вимоги - пізніше
Повне застосування CRA починається 11 грудня 2027 року. Липневі настанови Комісії охоплюють сферу дії регулювання, істотні модифікації, період підтримки та оцінку ризику. Це необов’язкове роз’яснення, яке не замінює тексту регламенту. Для адміністраторів відкритого програмного забезпечення Комісія визначає інший початок обов’язків звітування: 11 грудня 2027 року.
Нинішній етап не варто розглядати лише як майбутній сертифікаційний проєкт. Виробнику, на якого поширюються вересневі обов’язки, процес реагування та повідомлення потрібен уже зараз. У довгостроковому плані його слід поєднати з підтримкою продукту, оновленнями й документацією, а не створювати окремий процес, не пов’язаний із роботою технічної команди.
Джерела та контекст
- European Commission: CRA implementation calendar ↗
- European Commission: reporting obligations ↗
- ENISA: Single Reporting Platform and user guidance ↗
- Regulation (EU) 2024/2847, Articles 2 and 14 ↗
- Commission guidance, 27 July 2026 ↗
Видавець — Mitchell Strategic Solutions Group. Ознайомтеся з нашими редакційними стандартами та правилами внесення виправлень. Докладніше →
