Formálne Nariadenie (EÚ) 2024/2847, uplatňuje sa tam, kde zamýšľaný účel produktu alebo primerane predvídateľné použitie zahŕňa priame alebo nepriame logické či fyzikálne dátové pripojenie k zariadeniu alebo sieti. Produkt zahŕňa riešenie vzdialeného spracovania údajov len tam, kde je tento softvér navrhnutý a vyvinutý výrobcom alebo pod jeho zodpovednosťou a produkt by bez neho nevykonával jednu zo svojich funkcií. Tento všeobecný rozsah podlieha vylúčeniam článku 2 a možným sektorovo-špecifickým limitáciam, vrátane špecifikovaných medicínskych a in-vitro diagnostických zariadení, regulovaných motorových vozidiel, certifikovaných produktov civilného letectva, námorného vybavenia, kvalifikujúcich náhradných dielov like-for-like a produktov vyvinutých výhradne pre účely národnej bezpečnosti alebo obrany či špecificky navrhnutých na spracovanie utajovaných informácií.
CRA vstúpil do platnosti 10. decembra 2024. Jeho hlavné povinnosti sa uplatňujú od 11. decembra 2027. Ustanovenia týkajúce sa notifikácie orgánov posudzovania zhody sa začali uplatniť 11. júna 2026 a povinnosti hlásenia zraniteľností a incidentov v článku 14 sa uplatňujú od 11. septembra 2026. Článok 14 sa uplatňuje aj na produkty v rozsahu uvedené na trh pred hlavným dátumom aplikácie; iné požiadavky všeobecne ovplyvňujú skoršie produkty, keď sú podstatne modifikované od 11. decembra 2027. Prechodné prípady stále vyžadujú produktovo-špecifickú analýzu.
Kľúčové body
Zodpovednosti výrobcuVykonať a zdokumentovať hodnotenie rizika kybernetickej bezpečnosti; navrhnúť, vyvinúť a vyrobiť produkt tak, aby spĺňal základné požiadavky; riadiť zraniteľnosti; poskytovať bezpečnostné aktualizácie a informácie používateľov; udržiavať technickú dokumentáciu; vykonať požadované posudzovanie zhody; a podporovať povinnosti dohľadu nad trhom.
Bezpečný životný cyklusPožiadavky adresujú charakteristiky secure-by-design a secure-by-default, ochranu pred neautorizovaným prístupom, dôvernosť a integritu, redukciu útočnej plochy, odolnosť, bezpečnostné logovanie tam, kde je to vhodné, spracovanie zraniteľností, koordinované zverejňovanie a nápravu počas obdobia podpory.
Obdobie podporyVýrobcovia musia určiť a komunikovať obdobie podpory reflektujúce očakávané použitie produktu a faktory špecifikované nariadením. Obdobie musí byť všeobecne aspoň päť rokov; kde sa produkt očakáva používaný menej ako päť rokov, môže zodpovedať tomuto kratšiemu obdobiu očakávaného použitia. Každá bezpečnostná aktualizácia sprístupnená počas obdobia podpory musí zostať dostupná po vydaní aspoň desať rokov alebo po zvyšok obdobia podpory, podľa toho, čo je dlhšie.
ZhodaMnohé produkty môžu používať postupy internej kontroly, zatiaľ čo produkty klasifikované ako dôležité alebo kritické môžu vyžadovať prísnejšie postupy alebo hodnotenie treťou stranou podľa kategórie, štandardov, certifikácie a uplatniteľnej cesty zhody. Označenie CE komunikuje zhodu s uplatniteľnými požiadavkami EÚ; nie je to sľub, že zraniteľnosti nikdy nebudú existovať.
Role dodávateľského reťazcaDovozcovia a distribútori majú vlastné povinnosti, vrátane kontrol pred uvedením alebo sprístupnením produktov na trh a akcie, keď sa domnievajú, že produkt nie je konformný. Dovozca alebo distribútor, ktorý uvádza produkt na trh pod vlastným menom alebo ochrannou známkou alebo vykonáva podstatnú modifikáciu, sa považuje za výrobcu a podlieha povinnostiam výrobcu.
Hlásenie od 11. septembra 2026Výrobcovia musia hlásiť aktívne zneužívané zraniteľnosti a závažné bezpečnostné incidenty cez Jednotnú hlásaciu platformu CRA. Oba procesy začínajú skorým varovaním do 24 hodín a plnšou notifikáciou do 72 hodín. Finálna správa je splatná najneskôr 14 dní potom, čo sa stane dostupné korektívne alebo zmierňujúce opatrenie pre aktívne zneužívanú zraniteľnosť, alebo do jedného mesiaca po 72-hodinovej notifikácii pre závažný incident.
Dôležité obmedzenieRozsah CRA, klasifikácia, cesty zhody, hlásenie a prechodné dátumy závisia od produktu, roly ekonomického operátora a faktov. Označenie CE a posudzovanie zhody nedokazuje, že produkt je bez zraniteľností a rozhodnutia o publikovaní vyžadujú kvalifikovanú právnu kontrolu.