EU সাইবার রেজিলিয়েন্স অ্যাক্ট (CRA): সেপ্টেম্বর 2026 থেকে রিপোর্টিং, 2027 থেকে CE নিয়ম

পরিধি ও কনফরমিটি অ্যাসেসমেন্ট

CRA ডিজিটাল উপাদানসহ সেই হার্ডওয়্যার ও সফটওয়্যার পণ্যের ওপর প্রযোজ্য, যা EU মার্কেটে সরবরাহ করা হয়। এর মধ্যে রিমোট ডেটা প্রসেসিং সলিউশন এবং আলাদাভাবে মার্কেটে রাখা কম্পোনেন্টও পড়ে, যদি সেগুলোর উদ্দিষ্ট বা যুক্তিসংগতভাবে প্রত্যাশিত ব্যবহারে প্রত্যক্ষ বা পরোক্ষ ডেটা সংযোগ থাকে। বাণিজ্যিক কার্যক্রমে সরবরাহ করা হয় না এমন পণ্য এর আওতার বাইরে, এবং EU-র অন্যান্য আইনের আওতাভুক্ত কিছু পণ্য বাদ দেওয়া হয়েছে।

বেশির ভাগ পণ্য সেলফ-অ্যাসেসমেন্ট (ইন্টারনাল কন্ট্রোল, module A) ব্যবহার করতে পারে। গুরুত্বপূর্ণ ক্লাস I পণ্য সেলফ-অ্যাসেসমেন্ট করতে পারে শুধু তখনই, যখন হারমোনাইজড স্ট্যান্ডার্ড, কমন স্পেসিফিকেশন বা ইউরোপীয় সাইবার নিরাপত্তা সার্টিফিকেশন স্কিম প্রয়োগ করা হয়েছে; নইলে নোটিফাইড বডি লাগে। গুরুত্বপূর্ণ ক্লাস II ও ক্রিটিক্যাল পণ্যের জন্য থার্ড-পার্টি অ্যাসেসমেন্ট বা সার্টিফিকেশন স্কিম দরকার। হারমোনাইজড স্ট্যান্ডার্ড ব্যবহার করলে কনফরমিটির অনুমান (presumption of conformity) মেলে।

প্রস্তুতকারকের দায়িত্ব

• সাইবার নিরাপত্তার ঝুঁকি মূল্যায়ন করুন এবং পরিশিষ্ট I-এর অপরিহার্য প্রয়োজনীয়তা পূরণ করুন, যার মধ্যে সাপোর্ট মেয়াদে দুর্বলতা (vulnerability) সামলানোও আছে।
• সংযুক্ত থার্ড-পার্টি কম্পোনেন্টের ক্ষেত্রে due diligence করুন।
• টেকনিক্যাল ডকুমেন্টেশন মার্কেট সার্ভেইল্যান্স কর্তৃপক্ষের জন্য হাতের কাছে রাখুন।
• পরিশিষ্ট II অনুযায়ী পরিচয় ও যোগাযোগের তথ্য এবং ব্যবহারকারীর তথ্য দিন, যার মধ্যে কেনার সময় সাপোর্ট মেয়াদের শেষ তারিখ (মাস ও বছর) থাকবে।
• পণ্য মার্কেটে রাখার আগে EU ডিক্লারেশন অফ কনফরমিটি তৈরি করুন এবং CE মার্কিং লাগান।
• সক্রিয়ভাবে exploit হওয়া দুর্বলতা ও গুরুতর ঘটনা রিপোর্ট করুন: 24 ঘণ্টার মধ্যে early warning, 72 ঘণ্টার মধ্যে নোটিফিকেশন, এবং ফিক্স পাওয়ার 14 দিনের মধ্যে (দুর্বলতার জন্য) বা এক মাসের মধ্যে (গুরুতর ঘটনার জন্য) চূড়ান্ত রিপোর্ট।

ইমপোর্টার, ডিস্ট্রিবিউটর ও সময়সীমা

ইমপোর্টারকে যাচাই করতে হবে যে প্রস্তুতকারক কনফরমিটি অ্যাসেসমেন্ট করেছে, টেকনিক্যাল ডকুমেন্টেশন আছে এবং পণ্যে CE মার্কিং আছে, আর নিয়ম না মানা পণ্য তারা মার্কেটে রাখতে পারবে না। ডিস্ট্রিবিউটরকে CE মার্কিং এবং প্রস্তুতকারক ও ইমপোর্টারের তথ্য, সাপোর্ট মেয়াদসহ, যাচাই করতে হবে। দুজনকেই দুর্বলতার বিষয়ে প্রস্তুতকারককে জানাতে এবং কর্তৃপক্ষের সঙ্গে সহযোগিতা করতে হবে। প্রস্তুতকারক লিখিত ম্যান্ডেটের মাধ্যমে অনুমোদিত প্রতিনিধি নিয়োগ করতে পারে।

রিপোর্টিংয়ের বাধ্যবাধকতা 11 সেপ্টেম্বর 2026 থেকে প্রযোজ্য, মার্কেটে আগে থেকে থাকা পণ্যের ক্ষেত্রেও। মূল বিধানগুলো 11 ডিসেম্বর 2027 থেকে প্রযোজ্য; মার্কেটে আগে থেকে থাকা পণ্য তখনই আওতায় আসে, যখন ওই তারিখের পর সেগুলোতে উল্লেখযোগ্য পরিবর্তন করা হয়। সাইবার নিরাপত্তা বিষয়ে বিদ্যমান EU-টাইপ এক্সামিনেশন সার্টিফিকেট 11 জুন 2028-এ শেষ হয়, তার আগে বাতিল না হলে। শাস্তি প্রতিটি সদস্য রাষ্ট্র নির্ধারণ করে, এবং 24 ঘণ্টার সময়সীমা মিস করার জন্য মাইক্রো ও ছোট প্রতিষ্ঠানকে জরিমানা করা যাবে না।