Акт о киберустойчивости ЕС (CRA): отчётность с сентября 2026, CE с 2027 года

Сфера действия и оценка соответствия

CRA применяется к аппаратным и программным продуктам с цифровыми элементами, доступным на рынке ЕС, включая решения для удалённой обработки данных и компоненты, размещаемые на рынке отдельно, если их предполагаемое или обоснованно прогнозируемое использование включает прямое или косвенное подключение для передачи данных. Продукты, поставляемые не в рамках коммерческой деятельности, не охватываются, а некоторые продукты, на которые распространяется другое законодательство ЕС, исключены.

Большинство продуктов могут использовать самооценку (внутренний контроль, модуль A). Важные продукты класса I могут проходить самооценку, только если применялись гармонизированные стандарты, общие спецификации или европейская схема сертификации кибербезопасности; в остальных случаях нужен нотифицированный орган. Важные продукты класса II и критические продукты требуют оценки третьей стороной или схемы сертификации. Применение гармонизированных стандартов даёт презумпцию соответствия.

Обязанности производителя

• Провести оценку рисков кибербезопасности и выполнить основные требования Приложения I, включая устранение уязвимостей в течение срока поддержки.
• Проявлять должную осмотрительность в отношении встроенных сторонних компонентов.
• Держать техническую документацию в распоряжении органов надзора за рынком.
• Предоставить идентификационные и контактные данные и информацию для пользователей по Приложению II, включая дату окончания срока поддержки (месяц и год) на момент покупки.
• Составить декларацию соответствия ЕС и нанести маркировку CE до размещения продукта на рынке.
• Сообщать об активно эксплуатируемых уязвимостях и серьёзных инцидентах: раннее предупреждение в течение 24 часов, уведомление в течение 72 часов и итоговый отчёт в течение 14 дней после появления исправления (уязвимости) или в течение одного месяца (серьёзные инциденты).

Импортёры, дистрибьюторы и сроки

Импортёры должны проверить, что производитель провёл оценку соответствия, что техническая документация существует и что продукт имеет маркировку CE, и не должны размещать на рынке несоответствующие продукты. Дистрибьюторы должны проверить маркировку CE и информацию производителя и импортёра, включая срок поддержки. И те и другие должны сообщать производителю об уязвимостях и сотрудничать с органами. Производитель может назначить уполномоченного представителя письменным поручением.

Обязанности по отчётности применяются с 11 сентября 2026 года, в том числе к продуктам, уже находящимся на рынке. Основные положения применяются с 11 декабря 2027 года; продукты, уже находящиеся на рынке, охватываются, только если после этой даты они подвергнутся существенной модификации. Действующие сертификаты экспертизы типа ЕС по кибербезопасности истекают 11 июня 2028 года, если они не утратят силу раньше. Санкции устанавливает каждое государство-член, а микро- и малые предприятия не могут быть оштрафованы за нарушение 24-часового срока.