Formálně nařízení (EU) 2024/2847 se aplikuje tam, kde zamýšlený účel či přiměřeně předvídatelné použití produktu zahrnuje přímé či nepřímé logické či fyzické datové připojení k zařízení či síti. Produkt zahrnuje řešení vzdáleného zpracování dat pouze tehdy, když je tento software navržen a vyvinut výrobcem či pod jeho odpovědností a produkt by bez něj nevykonával jednu ze svých funkcí. Tento obecný rozsah podléhá výjimkám článku 2 a možným sektorovým omezením, včetně specifikovaných zdravotnických a in-vitro diagnostických prostředků, regulovaných motorových vozidel, certifikovaných civilních leteckých produktů, námořního vybavení, kvalifikujících identických náhradních dílů a produktů vyvinutých výhradně pro účely národní bezpečnosti či obrany nebo specificky navržených ke zpracování utajovaných informací.
CRA vstoupilo v platnost 10. prosince 2024. Jeho hlavní povinnosti se používají od 11. prosince 2027. Ustanovení o oznamování orgánů posuzování shody se začala používat 11. června 2026 a povinnosti hlášení zranitelností a incidentů v článku 14 se používají od 11. září 2026. Článek 14 se také vztahuje na produkty v rozsahu uvedené na trh před hlavním datem aplikace; ostatní požadavky obecně ovlivňují dřívější produkty, když jsou od 11. prosince 2027 podstatně modifikovány. Přechodné případy stále vyžadují analýzu specifickou pro produkt.
Klíčové body
Povinnosti výrobceProvést a dokumentovat posouzení kybernetického rizika; navrhovat, vyvíjet a produkovat produkt tak, aby splňoval esenciální požadavky; řídit zranitelnosti; poskytovat bezpečnostní aktualizace a informace uživatelům; udržovat technickou dokumentaci; provádět požadované posouzení shody; a podporovat povinnosti dohledu nad trhem.
Zabezpečený životní cyklusPožadavky řeší charakteristiky secure-by-design a secure-by-default, ochranu před neautorizovaným přístupem, důvěrnost a integritu, redukci útočné plochy, odolnost, bezpečnostní logování tam, kde je to vhodné, nakládání se zranitelnostmi, koordinované zveřejňování a nápravu během období podpory.
Období podporyVýrobci musí určit a komunikovat období podpory odrážející očekávané použití produktu a faktory specifikované nařízením. Období musí obecně být alespoň pět let; kde se očekává použití produktu kratší než pět let, může odpovídat tomuto kratšímu období. Každá bezpečnostní aktualizace zpřístupněná během období podpory musí zůstat po vydání dostupná alespoň deset let či po zbytek období podpory, podle toho, co je delší.
ShodaMnoho produktů může použít procedury interní kontroly, zatímco produkty klasifikované jako důležité či kritické mohou vyžadovat přísnější procedury či posouzení třetí stranou podle kategorie, standardů, certifikace a platné cesty shody. Označení CE komunikuje shodu s platnými požadavky EU; není to slib, že zranitelnosti nikdy nebudou existovat.
Role dodavatelského řetězceDovozci a distributoři mají vlastní povinnosti, včetně kontrol před uvedením či zpřístupněním produktů na trhu a akce, když se domnívají, že produkt není ve shodě. Dovozce či distributor, který uvádí produkt na trh pod vlastním jménem či ochrannou známkou nebo provádí podstatnou modifikaci, je považován za výrobce a podléhá povinnostem výrobce.
Hlášení od 11. září 2026Výrobci musí hlásit aktivně zneužívané zranitelnosti a závažné bezpečnostní incidenty skrze Jednotnou hlášecí platformu CRA. Oba procesy začínají včasným varováním do 24 hodin a plnším oznámením do 72 hodin. Závěrečná zpráva je splatná nejpozději 14 dní poté, co se stane dostupné nápravné či zmírňující opatření u aktivně zneužívané zranitelnosti, či do jednoho měsíce po 72hodinovém oznámení u závažného incidentu.
Důležité omezeníRozsah, klasifikace, cesty shody, hlášení a přechodná data CRA závisí na produktu, roli ekonomického operátora a faktech. Označení CE a posouzení shody nedokazují, že produkt je prost zranitelností, a rozhodnutí o publikaci vyžadují kvalifikovaný právní přezkum.