EU سائبر ریزیلینس ایکٹ (CRA): ستمبر 2026 سے رپورٹنگ، 2027 سے CE قواعد

دائرہ کار اور کنفارمٹی اسیسمنٹ

CRA ڈیجیٹل عناصر والی ان ہارڈ ویئر اور سافٹ ویئر پروڈکٹس پر لاگو ہوتا ہے جو EU مارکیٹ میں دستیاب کرائی جاتی ہیں، بشمول ریموٹ ڈیٹا پروسیسنگ حل اور الگ سے مارکیٹ میں رکھے گئے پرزے، بشرطیکہ ان کے مقصود یا معقول حد تک متوقع استعمال میں براہِ راست یا بالواسطہ ڈیٹا کنکشن شامل ہو۔ جو پروڈکٹس کسی تجارتی سرگرمی میں فراہم نہیں کی جاتیں وہ دائرے میں نہیں آتیں، اور EU کے دوسرے قوانین کے تحت آنے والی بعض پروڈکٹس خارج ہیں۔

زیادہ تر پروڈکٹس سیلف اسیسمنٹ (اندرونی کنٹرول، module A) استعمال کر سکتی ہیں۔ اہم کلاس I پروڈکٹس سیلف اسیسمنٹ صرف تب کر سکتی ہیں جب ہارمونائزڈ اسٹینڈرڈز، مشترکہ تصریحات (common specifications) یا یورپی سائبر سیکیورٹی سرٹیفکیشن اسکیم لاگو کی گئی ہو؛ ورنہ نوٹیفائیڈ باڈی درکار ہے۔ اہم کلاس II اور کریٹیکل پروڈکٹس کے لیے تھرڈ پارٹی اسیسمنٹ یا سرٹیفکیشن اسکیم ضروری ہے۔ ہارمونائزڈ اسٹینڈرڈز کے استعمال سے مطابقت کا مفروضہ (presumption of conformity) ملتا ہے۔

مینوفیکچرر کی ذمہ داریاں

• سائبر سیکیورٹی رسک اسیسمنٹ کریں اور ضمیمہ I کے لازمی تقاضے پورے کریں، جن میں سپورٹ مدت کے دوران کمزوریوں (vulnerabilities) کو سنبھالنا شامل ہے۔
• شامل کیے گئے تھرڈ پارٹی پرزوں کے معاملے میں due diligence برتیں۔
• ٹیکنیکل دستاویزات کو مارکیٹ سرویلنس اتھارٹیز کے لیے دستیاب رکھیں۔
• ضمیمہ II کے تحت شناخت اور رابطے کی معلومات اور صارف کی معلومات دیں، جن میں خریداری کے وقت سپورٹ مدت کے اختتام کی تاریخ (مہینہ اور سال) شامل ہو۔
• پروڈکٹ کو مارکیٹ میں رکھنے سے پہلے EU ڈیکلریشن آف کنفارمٹی تیار کریں اور CE مارکنگ لگائیں۔
• فعال طور پر exploit ہونے والی کمزوریوں اور سنگین واقعات کی رپورٹ دیں: 24 گھنٹے کے اندر early warning، 72 گھنٹے کے اندر نوٹیفکیشن، اور فکس دستیاب ہونے کے 14 دن کے اندر (کمزوریوں کے لیے) یا ایک ماہ کے اندر (سنگین واقعات کے لیے) حتمی رپورٹ۔

امپورٹرز، ڈسٹری بیوٹرز اور ٹائم لائن

امپورٹرز کو جانچنا ہوتا ہے کہ مینوفیکچرر نے کنفارمٹی اسیسمنٹ کیا ہے، ٹیکنیکل دستاویزات موجود ہیں اور پروڈکٹ پر CE مارکنگ ہے، اور وہ قواعد پر پورا نہ اترنے والی پروڈکٹس کو مارکیٹ میں نہیں رکھ سکتے۔ ڈسٹری بیوٹرز کو CE مارکنگ اور مینوفیکچرر و امپورٹر کی معلومات، بشمول سپورٹ مدت، جانچنا ہوتی ہیں۔ دونوں کو کمزوریوں کے بارے میں مینوفیکچرر کو بتانا اور اتھارٹیز سے تعاون کرنا ہوتا ہے۔ مینوفیکچرر تحریری مینڈیٹ کے ذریعے مجاز نمائندہ مقرر کر سکتا ہے۔

رپورٹنگ کی ذمہ داریاں 11 ستمبر 2026 سے لاگو ہیں، مارکیٹ میں پہلے سے موجود پروڈکٹس پر بھی۔ مرکزی دفعات 11 دسمبر 2027 سے لاگو ہوتی ہیں؛ مارکیٹ میں پہلے سے موجود پروڈکٹس اسی صورت میں شامل ہوتی ہیں جب اس تاریخ کے بعد ان میں خاطر خواہ تبدیلی کی جائے۔ سائبر سیکیورٹی سے متعلق موجودہ EU-ٹائپ ایگزامنیشن سرٹیفکیٹس 11 جون 2028 کو ختم ہو جاتے ہیں، جب تک وہ اس سے پہلے ہی ختم نہ ہو جائیں۔ سزائیں ہر رکن ملک خود طے کرتا ہے، اور مائیکرو اور چھوٹے اداروں پر 24 گھنٹے کی مہلت چوکنے پر جرمانہ نہیں لگایا جا سکتا۔