EU साइबर रेज़िलिएंस एक्ट (CRA): सितंबर 2026 से रिपोर्टिंग, 2027 से CE नियम

दायरा और कन्फ़ॉर्मिटी असेसमेंट

CRA उन हार्डवेयर और सॉफ़्टवेयर प्रोडक्ट पर लागू होता है जिनमें डिजिटल तत्व हैं और जो EU मार्केट में उपलब्ध कराए जाते हैं। इनमें रिमोट डेटा प्रोसेसिंग समाधान और अलग से मार्केट में रखे गए कंपोनेंट भी शामिल हैं, बशर्ते उनके इच्छित या उचित रूप से अनुमानित उपयोग में प्रत्यक्ष या अप्रत्यक्ष डेटा कनेक्शन शामिल हो। जो प्रोडक्ट किसी व्यावसायिक गतिविधि में सप्लाई नहीं किए जाते वे दायरे में नहीं आते, और EU के दूसरे कानूनों के दायरे में आने वाले कुछ प्रोडक्ट बाहर रखे गए हैं।

ज़्यादातर प्रोडक्ट सेल्फ़-असेसमेंट (इंटरनल कंट्रोल, module A) अपना सकते हैं। महत्वपूर्ण क्लास I प्रोडक्ट सेल्फ़-असेसमेंट तभी कर सकते हैं जब हार्मोनाइज़्ड स्टैंडर्ड, कॉमन स्पेसिफ़िकेशन या यूरोपीय साइबर सिक्योरिटी सर्टिफ़िकेशन स्कीम लागू की गई हो; वरना नोटिफ़ाइड बॉडी की ज़रूरत होती है। महत्वपूर्ण क्लास II और क्रिटिकल प्रोडक्ट के लिए थर्ड-पार्टी असेसमेंट या सर्टिफ़िकेशन स्कीम चाहिए। हार्मोनाइज़्ड स्टैंडर्ड के इस्तेमाल से कन्फ़ॉर्मिटी का अनुमान (presumption of conformity) मिलता है।

मैन्युफ़ैक्चरर की ज़िम्मेदारियां

• साइबर सिक्योरिटी रिस्क असेसमेंट करें और अनुलग्नक I की ज़रूरी शर्तें पूरी करें, जिनमें सपोर्ट अवधि के दौरान कमज़ोरियों (vulnerabilities) को संभालना शामिल है।
• इंटीग्रेट किए गए थर्ड-पार्टी कंपोनेंट के मामले में due diligence बरतें।
• टेक्निकल डॉक्यूमेंटेशन को मार्केट सर्विलांस अथॉरिटीज़ के लिए उपलब्ध रखें।
• अनुलग्नक II के तहत पहचान और संपर्क की जानकारी और यूज़र जानकारी दें, जिसमें खरीद के समय सपोर्ट अवधि की समाप्ति तिथि (महीना और साल) शामिल हो।
• प्रोडक्ट को मार्केट में रखने से पहले EU डिक्लेरेशन ऑफ़ कन्फ़ॉर्मिटी तैयार करें और CE मार्किंग लगाएं।
• सक्रिय रूप से exploit की जा रही कमज़ोरियों और गंभीर घटनाओं की रिपोर्ट करें: 24 घंटे के भीतर early warning, 72 घंटे के भीतर नोटिफ़िकेशन, और फ़िक्स उपलब्ध होने के 14 दिन के भीतर (कमज़ोरियों के लिए) या एक महीने के भीतर (गंभीर घटनाओं के लिए) अंतिम रिपोर्ट।

इंपोर्टर, डिस्ट्रीब्यूटर और समय-सीमा

इंपोर्टर को जांचना होता है कि मैन्युफ़ैक्चरर ने कन्फ़ॉर्मिटी असेसमेंट किया है, टेक्निकल डॉक्यूमेंटेशन मौजूद है और प्रोडक्ट पर CE मार्किंग है, और वह नियमों का पालन न करने वाले प्रोडक्ट को मार्केट में नहीं रख सकता। डिस्ट्रीब्यूटर को CE मार्किंग और मैन्युफ़ैक्चरर व इंपोर्टर की जानकारी, जिसमें सपोर्ट अवधि भी शामिल है, जांचनी होती है। दोनों को कमज़ोरियों के बारे में मैन्युफ़ैक्चरर को बताना और अथॉरिटीज़ के साथ सहयोग करना होता है। मैन्युफ़ैक्चरर लिखित मैंडेट से ऑथराइज़्ड रिप्रेज़ेंटेटिव नियुक्त कर सकता है।

रिपोर्टिंग की ज़िम्मेदारियां 11 सितंबर 2026 से लागू हैं, मार्केट में पहले से मौजूद प्रोडक्ट पर भी। मुख्य प्रावधान 11 दिसंबर 2027 से लागू होते हैं; मार्केट में पहले से मौजूद प्रोडक्ट तभी शामिल होते हैं जब उस तारीख के बाद उनमें काफ़ी बदलाव किया जाए। साइबर सिक्योरिटी पर मौजूदा EU-टाइप एग्ज़ामिनेशन सर्टिफ़िकेट 11 जून 2028 को समाप्त हो जाते हैं, जब तक वे उससे पहले ही निरस्त न हो जाएं। दंड हर सदस्य देश तय करता है, और माइक्रो व छोटे उद्यमों पर 24 घंटे की समय-सीमा चूकने के लिए जुर्माना नहीं लगाया जा सकता।