Актът за киберустойчивост – кои срокове вече текат за производителите

Актът за киберустойчивост (CRA), тоест Регламент (ЕС) 2024/2847, е в сила от 10 декември 2024 г. (Европейска комисия). Основните му задължения се прилагат от 11 декември 2027 г., а задълженията за докладване – от 11 септември 2026 г. (EUR-Lex, Официален вестник на ЕС). Тоест част от сроковете вече текат. Актът е регламент на ЕС, затова важи директно във всички държави членки, без национален закон за въвеждане (Федерална служба за информационна сигурност на Германия (BSI)). Засяга фирмите, които произвеждат или пускат на пазара хардуер и софтуер с цифрови елементи.

Кого засяга

Актът обхваща продукти с цифрови елементи, които могат да се свързват пряко или непряко с устройство или мрежа, заедно със свързаните с тях решения за дистанционна обработка на данни (Федерална служба за информационна сигурност на Германия (BSI)). Това са както хардуерни продукти, например смартфони, лаптопи, устройства за умен дом, свързани играчки, микропроцесори и защитни стени, така и софтуерни, например счетоводен софтуер, компютърни игри и мобилни приложения. Задълженията трябва да се изпълняват на всеки етап от веригата за създаване на стойност (Европейска комисия). Актът не се ограничава до крайните продукти и обхваща и компоненти като микропроцесори.

Актът има специален подход към свободния софтуер с отворен код (Европейска комисия). Изключени са некомерсиалният такъв софтуер и някои сектори, като медицинските изделия, превозните средства, гражданската авиация и морското оборудване (Федерална служба за информационна сигурност на Германия (BSI), EUR-Lex, Официален вестник на ЕС). Комисията публикува на 27 юли 2026 г. неправнообвързващи насоки, които изясняват кога в обхвата попадат решенията за дистанционна обработка на данни и свободният софтуер с отворен код (Европейска комисия). Насоките са изготвени след консултации с експертна група и публична консултация през 2026 г. и са част от по-широкия план за опростяване, включително пакета Digital Omnibus от ноември 2025 г..

Какво трябва да направи производителят

Първата стъпка е оценка на риска, върху която се определят изискванията за киберсигурност (Европейска комисия). Продуктът трябва да е сигурен по подразбиране, без например парола „password“ по подразбиране, с контрол на достъпа, криптография и автоматични актуализации. Производителят описва в техническата документация как изпълнява изискванията и провежда процедура за оценяване на съответствието.

При пускане на пазара производителят слага маркировка CE и прилага декларация за съответствие (Европейска комисия). Той посочва и срока на поддръжка, тоест колко време ще получава продуктът актуализации. Според регламента срокът е поне пет години, а ако продуктът се очаква да се използва по-кратко, съответства на очакваното време на използване (EUR-Lex, Официален вестник на ЕС). След пускането на пазара производителят обработва уязвимостите през целия срок на поддръжка и докладва за активно използвани уязвимости. Изисква се и списък на софтуерните компоненти (SBOM) в машинночетим формат, но регламентът не задължава той да се публикува: производителят сам решава дали да го направи достъпен за потребителите, а органът за надзор на пазара може да го поиска с мотивирано искане (Федерална служба за информационна сигурност на Германия (BSI)).

Категории продукти и проверка на съответствието

Повечето продукти, например домакински уреди, компютърни игри и мобилни приложения, преминават самооценка на производителя (Европейска комисия). Продуктите, важни от гледна точка на киберсигурността, като антивирусен софтуер, мениджъри за зареждане и системи за управление на мрежи, изискват прилагане на хармонизирани стандарти или оценка от нотифициран орган. В някои случаи, например за защитни елементи, защитни стени и хипервизори, оценката от трета страна е задължителна.

Нотифицираните органи се определят от държавите членки. Регламентът задължава държавите членки да се стремят до 11 декември 2026 г. в Съюза да има достатъчно такива органи (Европейска комисия, EUR-Lex, Официален вестник на ЕС). Целта е да не се стигне до тесни места при пускането на продукти на пазара (Федерална служба за информационна сигурност на Германия (BSI)).

Докладване от 11 септември 2026 г.

Производителите са длъжни да уведомяват за активно използвани уязвимости и тежки инциденти, засягащи сигурността на продуктите им (Европейска комисия). Ранно предупреждение се подава до 24 часа след узнаването, а пълно уведомление – до 72 часа. Окончателният доклад е не по-късно от 14 дни след като е налична корективна мярка при уязвимост и в рамките на един месец от 72-часовото уведомление при тежък инцидент.

Докладването е веднъж, през Единната платформа за докладване, която работи от 11 септември 2026 г. (Европейска комисия). Платформата се поддържа от Агенцията на ЕС за киберсигурност (ENISA), а на 20 октомври 2026 г. е обновена до версия 1.2.1 (ENISA). Уведомлението се адресира до екипа за реагиране при инциденти (CSIRT), определен за координатор в държавата на основното място на установяване на производителя, и едновременно става достъпно за ENISA (EUR-Lex, Официален вестник на ЕС). Стюардите на софтуер с отворен код подлежат на задължения за докладване от 11 декември 2027 г..

Календарът до края на 2027 г.

На 11 юни 2026 г. са започнали да се прилагат разпоредбите за нотифицирането на органите за оценяване на съответствието, като държавите членки трябва да определят нотифициращи органи (Европейска комисия). Първите стандарти по CRA се очакват през третото тримесечие на 2026 г., а още стандарти – до 30 октомври 2027 г.. През четвъртото тримесечие на 2026 г. се очаква делегиран акт за презумпция за съответствие със схемата за сертифициране EUCC. Пълното прилагане е на 11 декември 2027 г..

Комисията е включила в насоките си 67 практически примера, като е обърнала специално внимание на микропредприятията и малките и средните фирми (Европейска комисия). Микропредприятията и малките предприятия могат да представят техническата документация в опростен формат, който Комисията определя с актове за изпълнение (EUR-Lex, Официален вестник на ЕС). Информацията е за общите правила. Конкретният продукт трябва да се прецени спрямо текста на регламента. Този материал не е правен съвет.