Cyber Resilience Act UE (CRA): Pelaporan Sejak September 2026, Aturan CE Mulai 2027

Cakupan dan penilaian kesesuaian

CRA berlaku untuk produk perangkat keras dan perangkat lunak dengan elemen digital yang disediakan di pasar UE, termasuk solusi pemrosesan data jarak jauh dan komponen yang ditempatkan di pasar secara terpisah, jika penggunaan yang dimaksudkan atau yang secara wajar dapat diperkirakan mencakup koneksi data langsung atau tidak langsung. Produk yang tidak dipasok dalam kegiatan komersial tidak tercakup, dan sebagian produk yang tercakup oleh peraturan UE lain dikecualikan.

Sebagian besar produk dapat memakai penilaian mandiri (pengendalian internal, module A). Produk penting Kelas I hanya dapat dinilai sendiri jika standar harmonisasi, spesifikasi umum, atau skema sertifikasi keamanan siber Eropa diterapkan; jika tidak, diperlukan notified body (badan yang ditunjuk). Produk penting Kelas II dan produk kritis memerlukan penilaian pihak ketiga atau skema sertifikasi. Penggunaan standar harmonisasi memberikan praduga kesesuaian.

Kewajiban produsen

• Melakukan penilaian risiko keamanan siber dan memenuhi persyaratan esensial dalam Lampiran I, termasuk penanganan kerentanan selama periode dukungan.
• Menerapkan uji tuntas (due diligence) terhadap komponen pihak ketiga yang terintegrasi.
• Menyimpan dokumentasi teknis agar tersedia bagi otoritas pengawas pasar.
• Memberikan data identifikasi dan kontak serta informasi pengguna sesuai Lampiran II, termasuk tanggal berakhirnya periode dukungan (bulan dan tahun) pada saat pembelian.
• Menyusun deklarasi kesesuaian UE dan membubuhkan penandaan CE sebelum produk ditempatkan di pasar.
• Melaporkan kerentanan yang aktif dieksploitasi dan insiden parah: peringatan dini dalam 24 jam, notifikasi dalam 72 jam, dan laporan akhir dalam 14 hari setelah perbaikan tersedia (kerentanan) atau dalam 1 bulan (insiden parah).

Importir, distributor, dan jadwal

Importir harus memeriksa bahwa produsen telah melakukan penilaian kesesuaian, dokumentasi teknis tersedia, dan produk memiliki penandaan CE, serta tidak boleh menempatkan produk yang tidak sesuai di pasar. Distributor harus memeriksa penandaan CE dan informasi produsen dan importir, termasuk periode dukungan. Keduanya harus memberi tahu produsen tentang kerentanan dan bekerja sama dengan otoritas. Produsen dapat menunjuk perwakilan resmi melalui mandat tertulis.

Kewajiban pelaporan berlaku sejak 11 September 2026, juga untuk produk yang sudah ada di pasar. Ketentuan utama berlaku sejak 11 Desember 2027; produk yang sudah ada di pasar hanya tercakup jika dimodifikasi secara substansial setelah tanggal tersebut. Sertifikat pemeriksaan tipe UE yang ada tentang keamanan siber berakhir pada 11 Juni 2028 kecuali berakhir lebih awal. Sanksi ditetapkan oleh masing-masing negara anggota, dan usaha mikro dan kecil mungkin tidak dikenai denda karena melewatkan batas waktu 24 jam.